Funktioniert Box in China? Datenresidenz, Box Zones & Grenzübertritt
Box ist aus China erreichbar, aber Erreichbarkeit ist nicht die Entscheidung. Box ist eine Enterprise-Content-Cloud: Die Dokumente, Dateien, Metadaten und Mitarbeiter-Identitäten, die ein auf China ausgerichtetes Team in Box legt, kommen in einer von Box' zehn Übersee-Box-Zones-Regionen zur Ruhe — keine davon Festlandchina —, in China erhobene und dort gehaltene personenbezogene Daten sind also ein Grenztransfer nach PIPL (Mitteilung, eine gesonderte Einwilligung, ein Transfermechanismus, möglicherweise eine Datenexport-Sicherheitsbewertung), mit einer Inland-Speicherpflicht für einen Betreiber kritischer Informationsinfrastruktur nach Art. 39 (vormals Art. 37) des Cybersicherheitsgesetzes, und eine öffentliche auf China ausgerichtete Oberfläche schuldet weiterhin eine ICP-Beian. Ein Blick zuerst auf die Compliance: Box' Datenresidenz- und Grenzübertritts-Exponierung — und der rechtmäßige inländische Weg, ohne Umgehung welcher Art auch immer.
Funktioniert Box in China?
Box ist aus dem Festland erreichbar, aber das ist die einfache Hälfte — und nicht die Entscheidung. Die Entscheidung ist, wo Ihre Inhalte leben: Box speichert sie in einer von zehn Übersee-Box-Zones-Regionen, keine davon Festlandchina.
Box' eigene Box-Zones-Seite bietet an, „store your content in the geographic region of your choice“, mit „in-region storage across 10 regions“ — Australien, Kanada, die EU, Frankreich, Israel, Japan, Singapur, die Schweiz, das UK und die USA. Es gibt keine China-Zone. Die Dokumente, Metadaten und Mitarbeiter-Identitäten, die ein auf China ausgerichtetes Team in Box legt, sind also personenbezogene Daten, die das Festland verlassen — ein Grenztransfer, den PIPL regelt (Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus, Art. 38–40), mit einer Inland-Speicherpflicht für einen Betreiber kritischer Informationsinfrastruktur (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)), die eine Offshore-Zone nicht erfüllen kann. Eine öffentliche auf China ausgerichtete Oberfläche, die diese Dateien bedient, schuldet auch eine ICP-Beian. Die Tabelle unten ist Box' eigener Wortlaut und die Regel, die jede Zeile auslöst.
Dies ist eine Risikokarte, kein Urteil — was Sie schulden, hängt von Ihren Datenmengen, Ihrer Rolle als Verarbeiter und davon ab, wer Ihre Nutzer sind, und es lohnt, es mit Rechtsbeistand zu klären. Unser China-Team kann Ihre Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! Dateien, Metadaten & Mitarbeiter-Identitäten kommen offshore zur Ruhe (Box-Zones-Regionen)
- ! In China erhobene Inhalte in Box gehalten sind ein PIPL-Grenztransfer
- ✕ Box bietet keine Festlandchina-Zone und kein inländisches Rechenzentrum
- ! Betreiber kritischer Informationsinfrastruktur / Verarbeiter großer Mengen schulden Inland-Speicherung, die keine Box-Zone bieten kann
- ! Eine öffentliche auf China ausgerichtete Oberfläche braucht weiterhin eine ICP-Beian, die Box nicht verankern kann
Was die offizielle Box-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| Box lässt Sie eine Speicherregion wählen — aber Festlandchina ist keine davon. Box' eigene Box-Zones-Produktseite bietet an, „store your content in the geographic region of your choice“, mit „in-region storage across 10 regions“, und merkt an, dass „Admins determine where content is stored“. Box betreibt keine China-Zone und nennt kein Festland-Rechenzentrum, Inhalte, die ein auf China ausgerichtetes Team in Box legt, kommen also in einer seiner Übersee-Regionen zur Ruhe — ein Grenztransfer personenbezogener Daten nach PIPL (Mitteilung, gesonderte Einwilligung und ein Transfermechanismus, Art. 38–40). | Box — Box Zones product page, abgerufen 2026-10-09; PIPL Art. 38–40 |
| Box' zehn Box-Zones-Regionen sind alle offshore. Ab Box' Erweiterung vom Juni 2026 umfasst der Box-Zones-Footprint zehn Regionen — Australien, Kanada, die EU, Frankreich, Israel, Japan, Singapur, die Schweiz, das UK und die USA —, wobei Box' Support-Notiz angibt, dass die drei neuesten Zonen „the existing seven Box Zones, bringing the total available regions to ten“ ergänzen. Keine sitzt innerhalb des Festlands, und Box' eigene Notiz hält fest, dass „Other processing activities currently occur in the U.S.“ Es gibt keine Festland-Hosting-Ressource, auf der in China erhobene Dateien, Metadaten oder Identitäten leben könnten. | Box Support — New Box Zones in Switzerland, Singapore and Israel, abgerufen 2026-10-09 |
| Es sind nicht nur die Dateien — die Metadaten und Mitarbeiter-Identitäten überqueren die Grenze auch. Box' Dokumentation beschreibt eine Zone als „a regional data storage unit“ und speichert Dateien nach Top-Level-Ordner-Eigentum; der Datensatz, wer eine Datei besitzt, teilt und öffnet, und die Konto-Identitäten Ihrer China-basierten Mitarbeiter sind personenbezogene Daten, die zusammen mit dem Inhalt in die gewählte Offshore-Zone bewegt werden. Ein Residenz-Feature ohne China-Option zu nutzen, hält in China erhobene personenbezogene Daten nicht in China — es leitet sie nach Übersee, was genau die Handlung ist, die PIPLs Grenzübertritts-Regeln regeln. | Box Support — Complying with International Data Privacy Rules: Multizones, abgerufen 2026-10-09 |
| Für manche Verarbeiter müssen die Inhalte in China bleiben — und aus dem Festland heraus zu bedienen, löst eine ICP-Beian aus. Wo der Verarbeiter ein Betreiber kritischer Informationsinfrastruktur ist oder personenbezogene Daten in Volumen bewegt, müssen in China erhobene personenbezogene Daten im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)) — was keine Offshore-Box-Zone erfüllen kann. Und jede öffentliche Site, die tatsächlich aus China heraus bedient wird, muss eine ICP-Beian tragen (Staatsratserlass Nr. 292; MIIT-Erlass Nr. 33), gebunden an eine Festland-Hosting-Ressource, die Box nicht bereitstellt. | PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37); Staatsratserlass Nr. 292; MIIT-Erlass Nr. 33 |
Quellen vom 21YunBox Compliance-Team am 9. Oktober 2026 geprüft.
Teams fragen meist, ob Box in China „funktioniert“, so wie sie es über jede App fragen würden — kann eine Kollegin in Shanghai es öffnen und einen Ordner synchronisieren. Für Box ist das die einfache Hälfte der Frage, und es ist nicht, wo die Entscheidung getroffen wird. Box ist eine Enterprise-Content-Cloud: Die Dokumente, die Dateien, ihre Metadaten und die Identitäten der daran zusammenarbeitenden Personen werden alle in Box’ Speicher hochgeladen. Nach Box’ eigener Darstellung sitzt dieser Speicher in einer von zehn Übersee-Regionen — und Festlandchina ist nicht darunter. In dem Moment, in dem von Nutzern in China erhobene Inhalte in einem Offshore-Box-Konto zur Ruhe kommen, haben Sie einen Grenztransfer (数据出境) gemacht, und ein separates Rechtsgebiet entscheidet, ob das rechtmäßig war. Selbst wenn jede Datei sofort aus Peking öffnete, bliebe diese Frage bestehen — weshalb dies eine Datenresidenz-Entscheidung ist, keine Performance-Entscheidung. Um von Anfang an eindeutig zu sein: Es gibt keinen rechtmäßigen Weg, der Chinas Netzwerkkontrollen umgeht, und 21YunBox verwendet oder empfiehlt keine Umgehung welcher Art auch immer.
Box in China auf einen Blick
| Worüber es entscheidet | In Box' eigenen Worten — und nach chinesischem Recht |
|---|---|
| Was es ist | Box ist eine Enterprise-Content-Cloud: Dokumente, Dateien, ihre Metadaten und die Identitäten von Mitarbeitern werden in Box' Speicher hochgeladen und über Teams geteilt. Es gibt keine Box-Zone, kein Rechenzentrum und keine operative Gesellschaft innerhalb Festlandchinas. |
| Wo sitzen Ihre Inhalte? | Offshore. Box Zones lässt ein Unternehmen Inhalte an eine von zehn Regionen heften — Box' eigene Liste läuft Australien, Kanada, die EU, Frankreich, Israel, Japan, Singapur, die Schweiz, das UK und die USA. Keine ist Festlandchina, und Inhalte, die keiner Zone zugewiesen sind, ruhen auf Box' primärer (US-)Infrastruktur. |
| In China erhobene Inhalte in ein Box-Konto legen | Ein Grenztransfer (数据出境) personenbezogener Daten nach PIPL (Art. 38–40): Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus. Es kann Chinas Datenexport-Sicherheitsbewertung auslösen, und für einen Betreiber kritischer Informationsinfrastruktur setzt Art. 39 (vormals Art. 37) des Cybersicherheitsgesetzes eine Inland-Speicherpflicht, die eine Offshore-Zone nicht erfüllen kann. |
| Die Öffentlichkeit aus China heraus bedienen | Ein auf China ausgerichtetes Portal oder eine App, die Festland-Nutzer diese Dateien öffnen und empfangen lässt, ist ein öffentlicher Dienst im Festland, trägt also eine an eine Festland-Hosting-Ressource gebundene ICP-Beian (备案)-Pflicht — etwas, das Box ohne inländische Region nicht bereitstellt. |
| Ist Erreichbarkeit die Frage? | Nein. Box läuft aus Offshore-Infrastruktur, wie es aus China performt, variiert also — aber die Achse hier ist, wo die Inhalte leben dürfen, nicht ob sie laden. Es gibt keinen rechtmäßigen Weg um Chinas Netzwerkkontrollen herum, und 21YunBox stellt weder Umgehung bereit noch empfiehlt sie. |
Die Datenresidenz-Frage: In Box gelegte Inhalte kommen offshore zur Ruhe
Hier ist das Tor, das die meisten Teams übersehen. Ein Box-Konto speichert Ihre Inhalte auf Box’ Servern, und Box’ eigene Box-Zones-Seite rahmt das ganze Produkt als die Wahl, wo diese Inhalte leben: Es bietet an, Sie „store your content in the geographic region of your choice“ zu lassen, mit „in-region storage across 10 regions“. Das ist das verräterische Zeichen. Die zehn Regionen, die Box gebaut hat — Australien, Kanada, die EU, Frankreich, Israel, Japan, Singapur, die Schweiz, das UK und die USA, nach Box’ Erweiterung des Dienstes 2026 —, sind alle außerhalb des Festlands, und Box betreibt keine China-Zone. Die gewöhnliche Handlung einer in Shanghai ansässigen Kollegin, die einen Vertrag in einem geteilten Ordner speichert, legt also in China erhobene personenbezogene Daten auf Speicher außerhalb des Landes. Das ist ein Grenztransfer personenbezogener Daten nach Chinas Gesetz zum Schutz personenbezogener Daten.
Und es ist nicht nur der Dateikörper. Die Metadaten, die Box behält — wer eine Datei besitzt, mit wem sie geteilt wurde, wer sie wann geöffnet hat — und die Konto-Identitäten Ihrer China-basierten Mitarbeiter sind selbst personenbezogene Daten. Sie an eine Übersee-Box-Zone zu leiten, transferiert sie über die Grenze, genau wie die Dokumente. Box Zones ist eine echte Datenresidenz-Kontrolle; es hat schlicht keine China-Einstellung zum Einschalten.
PIPL legt die Pflicht dem Verarbeiter auf — Ihnen, nicht dem Content-Anbieter. Art. 38–40 verlangen Mitteilung, eine gesonderte Einwilligung, die sich von der Zustimmung eines Nutzers zur Produktnutzung unterscheidet, und einen Transfermechanismus: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. Oberhalb bestimmter Schwellen, oder wo die Inhalte „wichtige Daten“ umfassen, kann der Transfer auch Chinas Datenexport-Sicherheitsbewertung (数据出境安全评估) erfordern, bevor irgendetwas geht.
Wenn Ihre Organisation ein Betreiber kritischer Informationsinfrastruktur ist, fügt das Cybersicherheitsgesetz eine noch härtere Pflicht hinzu. Sein Art. 39 — vormals Art. 37 im Text von 2016, umnummeriert durch die seit 1. Januar 2026 geltende Novelle, mit unveränderter Pflicht — verlangt, dass im Festland erhobene und erzeugte personenbezogene Daten und wichtige Daten im Festland gespeichert werden. Keine Box-Zone kann das erfüllen, welche Region Sie auch wählen, weil keine der zehn in China ist. Welche dieser Pflichten Ihre konkreten Inhalte tatsächlich treffen, ist ein mit Rechtsbeistand gegen das, was Sie wirklich erheben und speichern, zu bestätigendes Risiko.
Warum es keine Box-„China-Region“ zum Einschalten gibt
Bei manchen Anbietern ist die Lösung, auf eine Festland-Instanz umzuziehen, die der Anbieter selbst betreibt. Box ist keiner davon. Seine Datenresidenz-Optionen enden bei den zehn Box-Zones-Regionen oben, und selbst die müssen gekauft werden und werden von einem Administrator zugewiesen — „Admins determine where content is stored“, wie Box es ausdrückt —, ohne Festland-Option im Menü. Es gibt schlicht keine China-Zone zu aktivieren und nichts von Box’ eigenem im Festland, an das eine ICP-Beian (备案) zu knüpfen wäre.
Inhalte für China zu lokalisieren, ist also kein Schalter in Box — es ist eine Änderung, wo das China-residente Material tatsächlich lebt. Die Arbeit ist zu entscheiden, welche in China erhobenen Dateien, Metadaten und Identitäten im Land bleiben müssen (und sie auf einem wirklich China-residenten Speicher oder einem inländischen Deployment zu halten), und welche rechtmäßig gehen dürfen (und erst dann diese das Box erreichen zu lassen, das Ihr Team bereits nutzt). Diese Aufteilung ist der Kern davon, und sie wird geklärt, bevor irgendeine Frage, wie schnell eine Datei synchronisiert, aufkommt.
Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern
Es gibt einen rechtmäßigen Weg, Enterprise-Content und -Kollaboration für ein auf China ausgerichtetes Produkt zu betreiben, und er hat eine klare Form — drei Schritte, in Reihenfolge.
Kartieren. Unser China-Team arbeitet Ihre PIPL-Grenzübertritts-Exponierung und Ihre Datenresidenz-Pflichten durch: Es sortiert, welche in China erhobenen Dateien, Metadaten und Mitarbeiter-Identitäten personenbezogene oder wichtige Information tragen, die im Inland bleiben muss, welche rechtmäßig transferiert werden dürfen, und wo eine Datenexport-Sicherheitsbewertung oder eine Art.-39-Speicherpflicht gilt. Die rechtlichen Schlüsse werden mit Ihrem Rechtsbeistand geklärt; wir rahmen das technische Bild, das sie speist.
Lokalisieren. Halten Sie die China-residenten Inhalte im Inland — auf einem China-residenten Content-Speicher oder einem inländischen Deployment — und lassen Sie nur, was rechtmäßig gehen darf, Ihr globales Box erreichen, sodass die Ordner, Freigaben und Workflows, auf die Ihr Team sich stützt, weiter funktionieren, ohne dass der Content-Speicher zu dem wird, was Daten rechtswidrig aus China trägt. 21YunBox setzt diese China-legale Option auf und integriert sie anstelle von Speicher, der im Festland nicht rechtskonform laufen kann.
Ausliefern. Die auf China ausgerichtete App oder das Portal, das diese Dateien bedient und empfängt, ist selbst ein öffentlicher Dienst im Festland, trägt also eine ICP-Beian (备案)-Pflicht und braucht rechtskonforme, inländische Auslieferung. 21YunBox liefert sie im Inland aus — der 21YunBox Optimizer — vor dem, was Sie bereits betreiben, ohne Neuaufbau und ohne Re-Platforming. Das Ergebnis sind Enterprise-Content und eine auf China ausgerichtete App, die für Ihre Nutzer in China rechtmäßig und rechtskonform laufen. Was wir nie tun, und was niemand rechtmäßig kann, ist, einen Weg um Chinas Netzwerkkontrollen herum zu fabrizieren: Wir lokalisieren, was bleiben muss, und liefern im Inland aus, und Umgehung steht nie auf dem Tisch.
Compliance-Einschätzung anfordern →
Weiterführend:
- Grenzüberschreitende Datentransfers nach PIPL
- Chinas Datenexport-Sicherheitsbewertung
- Chinas Cybersicherheitsgesetz (Datenlokalisierung, Art. 39)
- So erhalten Sie eine ICP-Beian für China
Häufige Fragen
Speichert Box die Dateien chinesischer Nutzer in China?
Nein. Box Zones bietet zehn Speicherregionen — Australien, Kanada, die EU, Frankreich, Israel, Japan, Singapur, die Schweiz, das UK und die USA — und Festlandchina ist nicht darunter; Inhalte, die an keine Zone geheftet sind, ruhen auf Box' primärer US-Infrastruktur. Die Dateien, Metadaten und Mitarbeiter-Identitäten, die Ihre China-Nutzer in Box legen, werden also offshore gehalten, was sie zu einem Grenztransfer personenbezogener Daten nach PIPL macht: Der Verarbeiter (Sie, nicht Box) schuldet Mitteilung, eine gesonderte Einwilligung und einen Transfermechanismus.
Box öffnet problemlos aus unserem Shanghai-Büro — reicht das nicht?
Erreichbarkeit ist die einfache Hälfte und nicht die Achse. Compliance in China hängt davon ab, wo die Daten leben, nicht davon, ob die App lädt. Selbst wenn Box normal öffnet, sind personenbezogene Daten, die Ihr China-Team in ein Offshore-Box-Konto legt, ein Grenztransfer nach PIPL, und für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen gibt es eine Inland-Speicherpflicht, die eine Offshore-Zone nicht erfüllen kann. Behandeln Sie es als ein mit Rechtsbeistand gegen das, was Sie tatsächlich erheben, durchzuarbeitendes Risiko.
Kann 21YunBox helfen, unser Box-Setup in China zum Laufen zu bringen?
Ja. Unser China-Team kann Ihre Exponierung kartieren — es bewertet die PIPL-Grenzübertritts- und Datenresidenz-Pflichten, die an den Dateien, Metadaten und Identitäten hängen, die Box hält, für Ihre Gesellschaft, Ihre Datenmengen und Ihre Nutzer — und dann die China-residenten Inhalte auf einen inländischen Speicher lokalisieren und Ihre auf China ausgerichtete App auf ICP-gemeldeter, inländischer Infrastruktur ausliefern, vor dem Box-Stack, den Sie bereits betreiben, ohne Neuaufbau und ohne Umgehung welcher Art auch immer. Nehmen Sie Kontakt auf, um Ihren konkreten Fall durchzugehen.
