Funktioniert Azure Cosmos DB in China? Datenresidenz, PIPL und die 21Vianet-Partition
Auf einem globalen Azure-Konto betreibt Azure Cosmos DB keine Region innerhalb Festlandchinas — es speichert Ihre Datenbank in der Azure-Region, die Sie wählen, alle offshore —, sodass die personenbezogenen Daten Ihrer chinesischen Nutzer ein PIPL-Grenztransfer sind, und „Azure China“ ist eine separate, von 21Vianet betriebene Cloud, kein Regions-Schalter. Ein Blick zuerst auf die Compliance: wo Ihre Daten leben.
Funktioniert Azure Cosmos DB in China?
Erreichbar ist nicht die Frage. Azure Cosmos DB ist, wo die Daten Ihrer Anwendung leben, und auf einem normalen globalen Azure-Konto gibt es keine Festlandchina-Region, in der sie zu halten wären — die personenbezogenen Daten Ihrer chinesischen Nutzer sitzen also offshore, ein grenzüberschreitender Transfer nach PIPL. Und „Azure China nutzen“ ist kein Regions-Schalter: Das ist eine separate Cloud, betrieben von einem anderen Unternehmen, unter einem eigenen Konto und einer chinesischen Entität.
Microsofts eigene Dokumentation nennt Cosmos DB „a globally distributed database system“, das „transparently replicates the data to all the regions associated with your Azure Cosmos DB account“, konfigurierbar „in any of the Azure regions“. Sie listet auch „five distinct Azure cloud environments“, wobei die „Azure public“-Cloud „available globally“ ist und „Microsoft Azure operated by 21Vianet“ eine separate — und Microsoft gibt an, die globalen und China-Regionen seien „physically disconnected“. Auf einem globalen Konto bleiben Ihre Daten also außerhalb des Festlands: ein grenzüberschreitender Transfer personenbezogener Daten, den PIPL regelt, mit einer für manche Verarbeiter angehängten Datenlokalisierungspflicht. Die Datenbank trägt keine eigene ICP-Beian — diese Tür sitzt auf der öffentlichen App davor. Die Tabelle unten ist Microsofts eigener Wortlaut und die Regel, die jeder Punkt auslöst.
Dies ist eine Risikokarte, kein Urteil — welche Tür gilt, hängt von Ihrer Gesellschaft, Ihren Datenmengen und davon ab, wessen Daten Sie halten. Unser China-Team kann Ihre Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! Auf einem globalen Azure-Konto hält Cosmos DB die Daten Ihrer Nutzer offshore
- ! Offshore gespeicherte personenbezogene Daten von China-Nutzern sind ein PIPL-Grenztransfer
- ✕ Globales Azure betreibt keine Festland-Cosmos-DB-Region, um Datenlokalisierung zu erfüllen
- ! „Azure China“ ist eine separate 21Vianet-Cloud — neues Konto, chinesische Entität, eigenes Regime
- ✓ ICP ist nicht die Tür der Datenbank — es fällt auf die öffentliche App davor
Was die offizielle Azure Cosmos DB-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| Cosmos DB ist ein global verteilter Speicher, und es hält Ihre Daten in den Regionen, die an Ihr Konto gebunden sind. Microsoft nennt es „a globally distributed database system“, das „transparently replicates the data to all the regions associated with your Azure Cosmos DB account“, konfigurierbar „in any of the Azure regions“. Weil die Datenbank die echten Datensätze Ihrer Anwendung hält — die personenbezogenen Daten Ihrer chinesischen Nutzer darunter —, sind diese Regionen, wo diese personenbezogenen Daten physisch sitzen. Auf einem normalen globalen Azure-Konto liegt jede davon außerhalb Festlandchinas. | Microsoft Learn — Distribute data globally with Azure Cosmos DB, abgerufen 2026-10-07 |
| Cosmos DBs eigene Docs behandeln China als separate Cloud, keine Region, die man einschaltet. Dieselbe Seite sagt, Cosmos DB „is available in all five distinct Azure cloud environments“, und listet die „Azure public“-Cloud („available globally“) und, separat, „Microsoft Azure operated by 21Vianet … available through a unique partnership between Microsoft and 21Vianet, one of the largest internet providers in China“. China ist eine andere Umgebung als Ihr globales Konto — keine Region darin. | Microsoft Learn — Distribute data globally with Azure Cosmos DB, abgerufen 2026-10-07 |
| „Azure China“ bedeutet einen anderen Betreiber, ein separates Konto und eine chinesische Entität. Microsoft beschreibt Azure operated by 21Vianet als „a physically separated instance of cloud services located in China“, „independently operated and transacted by Shanghai Blue Cloud Technology Co., Ltd. („21Vianet“)“ — und um es zu nutzen, in seinen eigenen Worten, „You sign OSPA with 21Vianet“, nicht Microsoft. Microsoft gibt auch an, dass „Azure global regions and Azure in China regions are physically disconnected“. Cosmos DB ins Inland zu bewegen, ist eine separate Cloud unter einem separaten Vertrag, keine Einstellung an Ihrem bestehenden Konto. | Microsoft Learn — Microsoft Azure in China (overview-operations) & Azure in China FAQ, abgerufen 2026-10-07 |
| Die Datenbank trägt keine ICP-Beian — diese Tür gehört der App, während Cosmos DBs Frage Datenresidenz ist. Eine ICP-Beian (Staatsratserlass Nr. 292; MIIT-Erlass Nr. 33) hängt an einem öffentlich zugänglichen Internet-Informationsdienst, und eine Datenbank bedient keine öffentliche Site, die Pflicht sitzt also auf der Anwendung vor Cosmos DB. Was die Datenbank durchaus trägt, ist Residenz: Die personenbezogenen Daten Ihrer China-Nutzer offshore gehalten, sind ein grenzüberschreitender Transfer nach PIPL (Mitteilung, gesonderte Einwilligung und ein Transfermechanismus, Art. 38–43), und für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen müssen sie im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)) — was eine globale Azure-Region nicht kann. | Microsoft Learn — Azure Cosmos DB documentation, abgerufen 2026-10-07; Staatsratserlass Nr. 292; MIIT-Erlass Nr. 33; PIPL Art. 38–43 & 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37) |
Quellen vom 21YunBox Compliance-Team am 7. Oktober 2026 geprüft.
Für ein Festland-China-Publikum ist die eigentliche Frage zu Azure Cosmos DB nicht, wie schnell es eine Query beantwortet — sie ist, wo die Daten darin leben dürfen. Cosmos DB ist Microsofts global verteilte NoSQL-Datenbank, was bedeutet, dass sie die eigenen Datensätze Ihrer Anwendung hält, die personenbezogenen Daten Ihrer chinesischen Nutzer darunter. Microsoft beantwortet die Residenzfrage in seiner eigenen Dokumentation: Cosmos DB repliziert in die Regionen, die an Ihr Konto gebunden sind, und auf einem normalen globalen Azure-Konto liegt nicht eine dieser Regionen innerhalb des Festlands. Der Endpunkt antwortet; die Exponierung ist, dass die personenbezogenen Daten, die es speichert, offshore sitzen — und dass „verschieb es einfach nach Azure China“ sich als eine gänzlich andere Cloud herausstellt, keine Region, die Sie einschalten können.
Azure Cosmos DB in China auf einen Blick
| Worüber es entscheidet | In Microsofts eigenen Worten |
|---|---|
| Wo Ihre Daten leben | Eine global verteilte Datenbank, die „transparently replicates the data to all the regions associated with your Azure Cosmos DB account“, konfigurierbar „in any of the Azure regions“. Die Datenbank ist der Speicher selbst, diese Regionen sind also, wo die Datensätze Ihrer Nutzer sitzen — und auf einem globalen Azure-Konto liegt keine innerhalb Festlandchinas. |
| Die China-Partition | Cosmos DB „is available in all five distinct Azure cloud environments“; die „Azure public“-Cloud ist „available globally“, und „Microsoft Azure operated by 21Vianet“ ist eine separate — „a physically separated instance of cloud services located in China“, „physically disconnected“ von globalem Azure. |
| Die Daten Ihrer China-Nutzer | In der Offshore-Region gehalten, die Sie wählten, sind die personenbezogenen Daten Ihrer chinesischen Nutzer ein grenzüberschreitender Transfer, den PIPL regelt (Art. 38–43) — aus dem Land gehalten, in dem sie erhoben wurden. |
| Datenlokalisierung | Ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen muss in China erhobene personenbezogene Daten im Festland halten (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)). Ein globales Azure-Konto hat keine In-China-Region, um das zu erfüllen. |
| ICP-Beian | Nicht die Tür der Datenbank. Cosmos DB bedient keine öffentliche Site, die ICP-Beian (Staatsratserlass Nr. 292; MIIT-Erlass Nr. 33), die ein Festland-Publikum braucht, sitzt also auf der Anwendung davor, nicht auf Cosmos DB. |
Keine Festland-Region auf globalem Azure — Ihre Daten bleiben also offshore
Azure Cosmos DB betreibt Ihre Datenbank in den Azure-Regionen, die Sie an Ihr Konto binden. In Microsofts eigenen Worten ist es „a globally distributed database system“, das „transparently replicates the data to all the regions associated with your Azure Cosmos DB account“, und Sie können es „in any of the Azure regions“ platzieren. Das ist die ganze Residenzgeschichte in einer Zeile: Die Datenbank ist kein Cache oder Edge, der vor Ihren Daten sitzt — sie ist Ihre Daten, und auf einem normalen globalen Azure-Konto liegt jede Region, in die sie replizieren kann, außerhalb des Festlands. Wählen Sie irgendeine davon für eine auf China ausgerichtete App, und die Datensätze Ihrer Nutzer sind an einen Ort gebunden, den Chinas Recht als fremden Boden behandelt.
„Azure China nutzen“ ist eine separate Cloud, kein Regions-Schalter
Die naheliegende Erwiderung — dann hoste Cosmos DB in einer China-Region — ist nicht die kleine Änderung, nach der sie klingt, und es ist der Teil, den Teams am häufigsten falsch verstehen. Cosmos DBs eigene Dokumentation zählt „five distinct Azure cloud environments“, und sie listet „Microsoft Azure operated by 21Vianet“ als eine davon, abseits der „Azure public“-Cloud, die „available globally“ ist. Microsoft beschreibt diese China-Cloud als „a physically separated instance of cloud services located in China“, eine, die „independently operated and transacted by Shanghai Blue Cloud Technology Co., Ltd. („21Vianet“)“ ist, und es gibt unverblümt an, dass „Azure global regions and Azure in China regions are physically disconnected“. Sie zu nutzen, ist daher kein Dropdown an Ihrem bestehenden Abonnement: Es ist ein separates Konto in einer separaten Cloud, vertraglich mit 21Vianet statt Microsoft — „You sign OSPA with 21Vianet“ — und es erfordert eine chinesische Rechtsentität und ihre eigene ICP- und Compliance-Grundlage. „Wir laufen bereits auf Azure“ trägt nicht über diese Linie.
Die Daten Ihrer China-Nutzer sind ein grenzüberschreitender Transfer
Weil Cosmos DB personenbezogene Daten hält, die von Personen in China erhoben wurden, ist ihr Halten in einer Offshore-Azure-Region nach Chinas Gesetz zum Schutz personenbezogener Daten ein grenzüberschreitender Transfer. Der Verarbeiter — Sie, nicht Microsoft — muss Mitteilung machen, eine gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung (PIPL Art. 38–43). Und wenn Sie ein Betreiber kritischer Informationsinfrastruktur sind oder personenbezogene Daten oberhalb der Mengenschwellen der Regulatoren verarbeiten, müssen diese Daten im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)) — eine Residenzpflicht, die eine globale Azure-Region nach Microsofts eigener Darstellung nicht erfüllen kann.
ICP ist nicht die Tür der Datenbank — und das unverblümt zu sagen, zählt
Es wäre leicht, jeder China-Seite eine ICP-Warnung anzuheften, aber sie gehört nicht auf Cosmos DB. Eine ICP-Beian (ICP 备案) nach Staatsratserlass Nr. 292 und MIIT-Erlass Nr. 33 hängt an einer öffentlich zugänglichen Website und dem Festland-Hosting, das sie bedient — und eine Datenbank bedient keine eigene öffentliche Site. Diese Pflicht sitzt also auf der Anwendung vor Ihrer Cosmos DB, wenn diese Anwendung einem chinesischen Publikum zugewandt ist, nicht auf der Datenbankschicht. Das Compliance-Gewicht von Cosmos DB ist enger und an einem Ort konzentriert: Datenresidenz. Die zwei Türen getrennt zu halten, ist der Punkt — es sagt Ihnen genau, welches Risiko wo lebt, statt eine Speicherfrage in eine Lizenzierungsfrage zu verwischen.
Dies ist eine Risikokarte, kein Urteil: Ob eine Lokalisierungspflicht gilt, welcher Grenzübertritts-Mechanismus passt und ob Sie die 21Vianet-Cloud überhaupt je brauchen, hängt von Ihrer Gesellschaft ab, davon, wie viele personenbezogene Daten Sie halten und wessen — es lohnt, es mit Rechtsbeistand zu klären, bevor Sie bauen.
Wo 21YunBox hineinpasst — eine rechtskonforme Overlay, keine Migration
Sie behalten Cosmos DB als Ihre Datenbank, genau dort, wo sie bereits läuft. Was wir hinzufügen, ist die Schicht, die sie von sich aus nie bereitstellen sollte: rechtskonforme, ICP-gemeldete Auslieferung aus dem Festland heraus für die Anwendung davor, zusammen mit jeder In-China-Speicherung, die Ihre Datenresidenz-Pflichten verlangen — rund um Ihren bestehenden Stack arrangiert, ohne Neuaufbau, ohne zweite Codebasis und ohne Wechsel weg von Azure. Unser China-Team kartiert Ihre PIPL-Grenzübertritts- und Datenlokalisierungs-Exponierung gegen Ihre Gesellschaft und Datenmengen und setzt dann die inländische Auslieferung und Speicherung auf, die eine rechtmäßige China-Präsenz braucht, während Ihre Datenbank bleibt, wo sie ist.
Compliance-Einschätzung anfordern →
Weiterführend:
Häufige Fragen
Können wir Cosmos DB einfach in eine Azure-Region in China verschieben?
Nicht als Einstellung. Microsoft betreibt seine Festland-Regionen als separate Cloud — „Microsoft Azure operated by 21Vianet“ —, die es als „a physically separated instance of cloud services located in China“ beschreibt, unabhängig betrieben und abgewickelt von 21Vianet, und es gibt an, dass die globalen und China-Regionen „physically disconnected“ sind. Sie zu nutzen, bedeutet ein separates Konto unter einer chinesischen Rechtsentität, vertraglich mit 21Vianet statt Microsoft, mit ihrer eigenen ICP- und Compliance-Grundlage. Es ist eine andere Cloud, keine Region, die Sie an Ihrem bestehenden Konto einschalten.
Braucht Azure Cosmos DB selbst eine ICP-Beian?
Nein — nicht die Datenbank. Die ICP-Beian (Staatsratserlass Nr. 292; MIIT-Erlass Nr. 33) hängt an einem öffentlich zugänglichen Internet-Informationsdienst, und eine Datenbank bedient keine eigene öffentliche Site. Wenn die Anwendung vor Ihrer Cosmos DB einem Festland-Publikum zugewandt ist, lebt die ICP-Pflicht dort, auf der App. Cosmos DBs eigene Compliance-Frage ist enger und sitzt eine Schicht tiefer: Datenresidenz — wo die personenbezogenen Daten, die es speichert, sitzen dürfen.
Kann 21YunBox helfen, unser Cosmos-DB-Setup für China rechtskonform zu machen?
Ja. Unser China-Team kann einschätzen, wo Ihre Cosmos-DB-Daten leben, Ihre PIPL-Grenzübertritts- und Datenresidenz-Exponierung für Ihre Gesellschaft, Datenmengen und Nutzer kartieren und die ICP-gemeldete, inländische Auslieferung — plus jede In-China-Speicherung, die Ihre Lokalisierungspflichten verlangen — für die Anwendung vor Ihrer Datenbank aufsetzen, während Cosmos DB genau dort bleibt, wo es läuft. Melden Sie sich, um Ihren konkreten Fall durchzugehen.
