Funktioniert Canvas in China? Datenresidenz, PIPL & Schülerdaten offshore
Canvas (Instructure) ist aus Festlandchina erreichbar, aber die entscheidende Frage ist Datenresidenz, nicht Geschwindigkeit. Instructure hostet die Canvas-Lernplattform auf AWS-Regionen in den USA, Kanada, Europa und dem Asien-Pazifik-Raum — keine in Festlandchina —, die personenbezogenen Schüler- und Lehrdaten, die eine Canvas-Site erhebt, werden also offshore gespeichert: ein Grenztransfer, den PIPL regelt, und Bildungsdaten über Minderjährige sind sensibel. Ein Compliance-zuerst-Blick auf die Datentür.
Funktioniert Canvas in China?
Ob Canvas für Schüler in Festlandchina funktioniert, ist zuerst eine Datenresidenz-Frage, keine Geschwindigkeitsfrage. Canvas ist aus China erreichbar — was das rechtliche Risiko trägt, ist, wo die Daten, die es über Ihre Schüler und Ihr Personal hält, leben dürfen.
Nach Instructures eigenem Trust Center ist die Canvas-Lernplattform „hosted on Amazon Web Services (AWS)“, und ihr regionales Hosting-Modell platziert jeden Kunden auf „AWS regional servers located within each organization's geographic area“ — die USA, Kanada, Europa und der Asien-Pazifik-Raum, keine in Festlandchina. Die Konten, Einschreibungen, Einreichungen und Noten, die eine Canvas-Site von Nutzern in China erhebt, werden also offshore gespeichert: ein Grenztransfer personenbezogener Daten, den PIPL regelt, der Mitteilung, gesonderte Einwilligung und einen Transfermechanismus braucht. Bildungsdaten enthalten routinemäßig Informationen Minderjähriger, die PIPL als sensibel behandelt — die Kleinmengen-Befreiung, auf die sich die meisten Apps lehnen, hilft also im Allgemeinen nicht. Die Tabelle unten ist Instructures eigener Wortlaut und die China-Regeln, die es auslöst, plus der rechtskonforme, inländische Weg.
Dies ist eine Risikokarte, kein Rechtsurteil — Ihre Pflichten hängen von Ihren Datenmengen, dem Alter Ihrer Nutzer und Ihrer Rolle ab. Unser China-Team kann Ihre Canvas-Datenresidenz-Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! Erreichbar, nicht gesperrt — lud aber in unseren Festland-Tests nicht innerhalb von 60 s fertig
- ! Speichert Schüler- & Lehrdaten in einer Offshore-AWS-Region (USA / Kanada / Europa / APAC)
- ✕ Keine Festlandchina-Region oder Datenresidenz-Option bei Instructure
- ! Grenz-PI-Transfer nach PIPL — und Bildungsdaten Minderjähriger sind sensibel, die Kleinmengen-Befreiung gilt also möglicherweise nicht
- ✓ Ein rechtskonformer Weg existiert: inländische, ICP-gemeldete Auslieferung und Speicherung, die Daten im Festland hält
Was die offizielle Canvas-Dokumentation sagt — und was wir aus Festlandchina gemessen haben
| Fakt | Primärquelle |
|---|---|
| In Instructures eigenem Trust Center: „The Instructure learning platform is hosted on Amazon Web Services (AWS) with security top of mind“, und „Customer data sits in separate databases, and, in many cases, on separate application servers“. Instructures AWS-Regionen umspannen die USA, Kanada, Europa und den Asien-Pazifik-Raum — keine in Festlandchina, die nächste im Asien-Pazifik-Raum und weiterhin offshore. | Instructure Trust Center — Security, abgerufen 2026-10-07 |
| Als Instructure regionales Hosting einführte, beschrieb es das Verschieben „European, Canadian, and Asia-Pacific organizations ... to our AWS regional servers located within each organization's geographic area“. Das Modell platziert die Daten jedes Kunden in der AWS-Region, die ihm am nächsten ist; für eine China-basierte Institution ist die nächste verfügbare Region im Asien-Pazifik-Raum, außerhalb des Festlands — es gibt keine Festlandchina-Option. | Instructure Community — Canvas Commons Goes Global: Instance Regionalization (aktualisiert Dez. 2025) |
| Eine Canvas-Instanz hält die personenbezogenen Daten von Schülern und Personal, und Nutzer in China zu bedienen, schreibt diese Daten in eine Offshore-Region — ein Grenztransfer personenbezogener Daten. PIPL regelt ihn: Der Verarbeiter (die Institution, nicht Instructure) muss Mitteilung geben, gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. Bildungsdaten enthalten routinemäßig Informationen Minderjähriger, die PIPL als sensible personenbezogene Daten behandelt (Art. 28) und, für unter 14-Jährige, die Einwilligung eines Vormunds verlangt (Art. 31). | PIPL Chapter III, Articles 38–43; Articles 28 and 31 |
| Die Exponierung skaliert mit Volumen, Rolle und Sensibilität. Nach den Regelungen zur Förderung und Regulierung grenzüberschreitender Datenflüsse der CAC vom März 2024 ist ein Nicht-Betreiber-kritischer-Informationsinfrastruktur, der die nicht sensiblen personenbezogenen Daten von weniger als 100.000 Personen in einem Kalenderjahr bewegt, von der Sicherheitsbewertung, dem Standardvertrag und der Zertifizierung befreit — aber diese Befreiung ist für nicht sensible Daten geschrieben, eine Plattform, die Informationen Minderjähriger hält, kann sich also im Allgemeinen nicht darauf verlassen. Für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen müssen in China erhobene personenbezogene Daten innerhalb des Festlands gespeichert werden (CSL Art. 39 (vormals Art. 37); PIPL Art. 40) — eine Pflicht, die keine Instructure-Region erfüllen kann. | CAC — Regulations on Promoting and Regulating Cross-border Data Flows, March 2024; PIPL Article 40; Cybersecurity Law Article 39 (formerly Article 37) |
| Abgefragt von einer Alibaba-Cloud-Sonde in Zhangjiakou am 2026-08-28 und einer Privatanschluss-Breitband-Leitung in Peking am 2026-08-30, gab Instructures eigenes canvas.com ein erstes Byte in etwa einer Sekunde zurück (Mediane nahe 0,9 s und 0,6 s), lud aber bei jedem Versuch nicht innerhalb einer 60-Sekunden-Obergrenze fertig; instructure.com/canvas verhielt sich am 2026-08-30 aus Zhangjiakou gleich (medianes erstes Byte 1,1 s, 3 von 3 Läufen über der Obergrenze). Viele der Offshore-Drittanbieter-Assets, die seine Seiten einziehen, hingen — Canvas ist also erreichbar, nicht gesperrt, nur vollständig von offshore bedient. | 21YunBox — China delivery measurement, gemessen innerhalb Festlandchinas |
Quellen vom 21YunBox Compliance-Team am 7. Oktober 2026 geprüft.
Für ein Festland-China-Publikum ist die entscheidende Frage zu Canvas nicht, wie schnell es lädt — sie ist, wo die Daten, die es über Ihre Schüler und Ihr Personal hält, leben dürfen. Canvas ist ein gehostetes Learning-Management-System: Instructure betreibt es auf Amazon Web Services, und nach seiner eigenen Dokumentation sitzt diese Infrastruktur in den USA, Kanada, Europa und dem Asien-Pazifik-Raum, ohne Region innerhalb Festlandchinas. Eine Canvas-Site, die Nutzer in China bedient, ist also erreichbar, doch jeder Datensatz, den sie über sie hält — Konten, Einschreibungen, Einreichungen, Noten —, landet offshore. Das ist ein Grenztransfer, den Chinas Datenrecht regelt, und weil Bildungsdaten routinemäßig Informationen über Minderjährige enthalten, wird es an einem höheren Maßstab gemessen. Canvas zu erreichen, ist nicht der schwere Teil; wo es die Daten Ihrer Schüler aufbewahrt, ist es.
Canvas in China auf einen Blick
| Worüber es entscheidet | In Instructures eigenen Worten |
|---|---|
| Wo Ihre Daten leben | Instructure hostet die Canvas-Lernplattform auf Amazon Web Services; seine regionalen AWS-Server sitzen „within each organization's geographic area“ — die USA, Kanada, Europa und der Asien-Pazifik-Raum. Keine ist innerhalb Festlandchinas; die nächste, im Asien-Pazifik-Raum, ist weiterhin offshore. |
| Was Canvas hält | Eine Canvas-Instanz speichert die personenbezogenen Daten von Schülern und Personal — Namen, E-Mail-Adressen, Einschreibungen, Einreichungen und Noten. Für Schulen und Bezirke enthält sie routinemäßig die personenbezogenen Daten Minderjähriger, die PIPL als sensible personenbezogene Daten einstuft (Art. 28). |
| Der Grenztransfer | Daten, die eine Canvas-Site von Nutzern in China erhebt, landen in dieser Offshore-AWS-Region. Das ist ein Grenztransfer personenbezogener Daten, den PIPL regelt — und der Verarbeiter sind Sie, die Institution, nicht Instructure. |
| Volumen, Rolle & Sensibilität | Nach den Grenzübertritts-Regeln der CAC vom März 2024 ist ein Nicht-Betreiber-kritischer-Informationsinfrastruktur, der die nicht sensiblen personenbezogenen Daten von weniger als 100.000 Personen pro Jahr bewegt, von der Sicherheitsbewertung, dem Standardvertrag und der Zertifizierung befreit — aber sensible Daten, wie Informationen Minderjähriger, erhalten keine solche Befreiung. Ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen muss in China erhobene Daten im Festland speichern (CSL Art. 39 (vormals Art. 37); PIPL Art. 40) — was keine Instructure-Region erfüllen kann. |
| Ist es erreichbar? | Ja — erreichbar, nicht gesperrt. Von einer Alibaba-Cloud-Sonde in Zhangjiakou (2026-08-28) und einer Pekinger Privatanschluss-Leitung (2026-08-30) gab canvas.com ein erstes Byte in etwa einer Sekunde zurück, lud aber bei keinem Versuch innerhalb einer 60-Sekunden-Obergrenze fertig, da seine Offshore-Drittanbieter-Assets stockten. Geschwindigkeit ist ein Symptom; die Daten sind das Problem. |
Wo Canvas die Daten Ihrer Schüler aufbewahrt
Canvas ist ein gehostetes Learning-Management-System: Instructure betreibt es, und die Kurs-Sites, Teilnehmerlisten, Einreichungen und Notenbücher leben auf Instructures Infrastruktur, nicht Ihrer. In seinem eigenen Trust Center gibt Instructure an, dass die Plattform „hosted on Amazon Web Services (AWS)“ ist und dass „Customer data sits in separate databases, and, in many cases, on separate application servers“. Als es regionales Hosting ausrollte, beschrieb Instructure das Verschieben „European, Canadian, and Asia-Pacific organizations … to our AWS regional servers located within each organization’s geographic area“. Diese Regionen umspannen die Vereinigten Staaten, Kanada, Europa und den Asien-Pazifik-Raum — und nicht eine ist in Festlandchina.
Diese Geografie ist, worauf Chinas Datenrecht reagiert, lange bevor Performance ins Spiel kommt. In dem Moment, in dem eine Canvas-Site Nutzer innerhalb Chinas bedient, werden die Datensätze, die sie über sie schreibt, im Ausland aufbewahrt — in welcher Region auch immer Ihre Institution zugewiesen ist, wobei die China nächste weiterhin außerhalb des Festlands sitzt. Canvas teilt das mit fast seiner ganzen Kategorie: Von den 13 Learning-Management-Systemen in unserem China-SaaS-Zensus, geprüft gegen ihre eigene Dokumentation im Oktober 2026, bietet nur eines — Software, die Sie selbst hosten — einen inländischen Weg für den Kerndienst.
Bedienen Sie China von Canvas aus, und die Daten Ihrer Schüler überqueren die Grenze
Die personenbezogene Information, die eine Canvas-Site von Personen in China sammelt — Namen, Campus-E-Mails, Einschreibungen, die Arbeiten, die sie einreichen, die Noten, die sie erhalten —, wird in diese eine Offshore-AWS-Region geschrieben. Nach Chinas Gesetz zum Schutz personenbezogener Daten ist ihr Speichern außerhalb des Festlands ein Grenztransfer, und die Pflicht fällt auf den Verarbeiter personenbezogener Daten — die Schule, den Bezirk oder die Institution, die die Canvas-Instanz betreibt, nicht Instructure als Plattform. PIPL verlangt von diesem Verarbeiter, betroffenen Nutzern Mitteilung zu geben, ihre gesonderte Einwilligung für den Transfer einzuholen und einen Transfermechanismus zu erfüllen: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung.
Bildung fügt eine Schicht hinzu, die die meisten Werkzeuge nicht tragen. Eine Lernplattform hält routinemäßig die personenbezogenen Daten Minderjähriger, und PIPL behandelt die personenbezogenen Daten jeder Person unter 14 als sensible personenbezogene Daten (Art. 28) — sie zu verarbeiten, braucht einen spezifischen Zweck und, für unter 14-Jährige, die Einwilligung eines Elternteils oder Vormunds (Art. 31). „Wir nutzen bereits Canvas“ klärt nichts davon: China zu erreichen und freigegeben zu sein, die Daten chinesischer Schüler daraus zu bewegen, sind verschiedene Fragen.
Wie viel auf dem Spiel steht — Volumen, Rolle und das Alter Ihrer Nutzer
Das Gewicht dieser Pflichten ist nicht einheitlich; es verfolgt Volumen, Rolle und Sensibilität. Nach den Regelungen zur Förderung und Regulierung grenzüberschreitender Datenflüsse der CAC vom März 2024 ist ein Verarbeiter, der kein Betreiber kritischer Informationsinfrastruktur ist und die nicht sensiblen personenbezogenen Daten von weniger als 100.000 Personen in einem Kalenderjahr bewegt, von der Sicherheitsbewertung, dem Standardvertrag und der Zertifizierung befreit. Diese Befreiung ist der leichtere Weg, auf den sich eine kleine App lehnt — aber sie ist für nicht sensible Daten geschrieben, eine Canvas-Instanz, die Informationen Minderjähriger hält, kann sich also im Allgemeinen nicht darauf verlassen und braucht einen Transfermechanismus auch bei bescheidenen Mengen.
Am anderen Ende sitzt Datenresidenz. Ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen muss in China erhobene personenbezogene Daten innerhalb des Festlands halten (Cybersicherheitsgesetz Art. 39 (vormals Art. 37); PIPL Art. 40) — und keine Instructure-Region kann das erfüllen, weil keine in China sitzt. Der einzige Weg, die Daten chinesischer Schüler auf chinesischem Boden zu halten, ist, die Auslieferung und Speicherung innerhalb des Festlands zu betreiben, und das rechtmäßig aufzustellen, bringt eine ICP-Beian ins Bild.
Erreichbar, nicht gesperrt — weshalb dies eine Datenfrage ist
Canvas ist nicht von China abgeschottet. In 21YunBox’ eigenen Messungen innerhalb des Festlands — einer Alibaba-Cloud-Sonde in Zhangjiakou am 2026-08-28 und einer Privatanschluss-Breitband-Leitung in Peking am 2026-08-30 — öffnete Instructures eigenes canvas.com eine Verbindung und gab sein erstes Byte in etwa einer Sekunde zurück (Mediane nahe 0,9 s und 0,6 s), und instructure.com/canvas verhielt sich am 2026-08-30 aus Zhangjiakou gleich (medianes erstes Byte 1,1 s). Was es nicht tat, war fertigladen: Keiner der Läufe schloss das Laden innerhalb einer 60-Sekunden-Obergrenze ab, weil viele der Offshore-Drittanbieter-Assets, die seine Seiten einziehen, schlicht hinter der Grenze hingen. Canvas ist also erreichbar, nicht gesperrt — und das ist genau der Punkt. Es zu erreichen, tut nichts dazu, wo die Daten Ihrer Schüler gespeichert werden, und kein noch so großes Netzwerk-Tuning bewegt diese Daten auf chinesischen Boden.
Dies ist eine Risikokarte, kein Urteil: Ob Sie Mitteilung und Einwilligung, einen vollen Transfermechanismus oder inländische Speicherung der Daten selbst schulden, hängt davon ab, wie viel personenbezogene Daten Sie halten, wie alt Ihre Nutzer sind und ob Ihre Rolle Sie in die Betreiber-kritischer-Informationsinfrastruktur- oder Großmengen-Stufe zieht — es lohnt, es mit Rechtsbeistand zu klären, bevor Sie bauen.
Wo 21YunBox hineinpasst — eine rechtskonforme Overlay, keine Migration
Sie betreiben Canvas weiter; nichts zieht von Instructure weg. Was wir hinzufügen, ist die Schicht, die ein gehostetes LMS ohne Festland-Region Ihnen von sich aus nicht geben kann: rechtskonforme, ICP-gemeldete Auslieferung aus dem Festland heraus, vor Ihren bestehenden Canvas-Origin gesetzt — ohne Neuaufbau, ohne zweite Codebasis, ohne Migration. Unser China-Team kartiert zuerst Ihre Grenzübertritts- und Datenresidenz-Pflichten gegen Ihre Gesellschaft, Ihre Datenmengen und das Alter Ihrer Nutzer. Dann, für den Fall, den das Recht am strengsten behandelt — wo die Daten chinesischer Schüler im Festland bleiben müssen —, helfen wir Ihnen, rechtskonforme inländische Speicherung aufzustellen, sodass diese Datensätze auf chinesischem Boden sitzen, während Ihre Canvas-Umgebung genau dort bleibt, wo sie bereits läuft.
Compliance-Einschätzung anfordern →
Weiterführend:
Häufige Fragen
Speichert Canvas die Daten chinesischer Schüler in China?
Nein. Nach Instructures eigenem Trust Center wird die Canvas-Lernplattform auf Amazon Web Services gehostet, und seine regionalen Server sitzen in den USA, Kanada, Europa und dem Asien-Pazifik-Raum — keine in Festlandchina. Die Konten, Einschreibungen, Einreichungen und Noten, die eine Canvas-Site von Nutzern in China erhebt, werden also offshore gespeichert, in welcher Region auch immer Ihre Institution zugewiesen ist.
Ist es gegen das Gesetz, Canvas für Schüler in China zu nutzen?
Nicht von Natur aus. Das Problem ist der Grenztransfer personenbezogener Daten, den PIPL erlaubt, wenn Sie Mitteilung geben, gesonderte Einwilligung einholen und einen seiner Transfermechanismen erfüllen. Bildungsdaten heben die Schwelle: PIPL behandelt die personenbezogenen Daten Minderjähriger als sensibel, und die Kleinmengen-Befreiung nach den CAC-Regeln vom März 2024 ist für nicht sensible Daten geschrieben. Ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen steht zudem vor einer Datenresidenz-Pflicht. Behandeln Sie dies als ein mit Rechtsbeistand für Ihre Mengen, das Alter Ihrer Nutzer und Ihre Rolle zu bewertendes Risiko, kein pauschales Verbot.
Kann 21YunBox helfen, unser Canvas-Setup in China rechtskonform zu machen?
Ja. Unser China-Team kann Ihre Grenzübertritts- und Datenresidenz-Exponierung bewerten und eine rechtskonforme, ICP-gemeldete inländische Auslieferung vor Ihrer bestehenden Canvas-Umgebung bereitstellen — und, wo die Daten chinesischer Schüler im Festland bleiben müssen, rechtskonforme inländische Speicherung. Nehmen Sie Kontakt auf, um Ihren konkreten Fall durchzugehen.
