Funktioniert SAP Concur in China? Datenresidenz, sensible Mitarbeiter-PI & PIPL-Grenztransfer
SAP Concur ist erreichbare Enterprise-SaaS, die China-Frage ist also nicht, ob es lädt — es ist, wo die Reise- und Spesendaten Ihrer China-Mitarbeiter leben. SAP Concurs aktueller C5-Audit nennt sechs Rechenzentren (Dublin, Frankfurt, Nord-Virginia, Ohio, Oregon, Tokio), keines in Festlandchina, Belege, Karten- und Bankdetails, Reiserouten und oft nationale ID-Nummern, die von China-Personal erhoben werden, ruhen also offshore — ein Grenztransfer sensibler personenbezogener Daten unter PIPL. Ein Compliance-zuerst-Blick auf die Residenz-, Sensible-PI- und Grenzübertritts-Exponierung und den rechtmäßigen inländischen Weg.
Funktioniert SAP Concur in China?
SAP Concur ist aus Festlandchina erreichbar, die ehrliche Antwort ist also, dass Laden nicht das Problem ist. Was die China-Frage entscheidet, ist Datenresidenz und Einwilligung — denn ein Spesen-Tool hält überwiegend sensible personenbezogene Daten über Ihre Mitarbeiter.
SAP Concur betreibt kein Rechenzentrum in Festlandchina: Sein eigener C5-Audit von 2026 listet nur sechs — Dublin, Frankfurt, Nord-Virginia, Ohio, Oregon und Tokio. Die Belege, Karten- und Bankdetails, Reiserouten und oft Pass- oder nationalen ID-Nummern, die Ihr China-Personal eingibt, ruhen also offshore, was ihre Erhebung zu einem Grenztransfer (数据出境) sensibler PI nach PIPL macht (Artikel 38–40, mit den strengeren Pflichten nach Artikel 28 für Finanz-, Identitäts- und Aufenthaltsort-Daten), und es kann Chinas Datenexport-Sicherheitsbewertung auslösen. Für einen Betreiber kritischer Informationsinfrastruktur verlangt Art. 39 des Cybersicherheitsgesetzes (vormals Art. 37), dass solche Daten in China bleiben, was keine Offshore-Region erfüllen kann.
21YunBox kartiert Ihre Sensible-PI-, Residenz- und Grenzübertritts-Exponierung, lokalisiert die China-Spesendaten auf eine eingewilligte inländische Grundlage und liefert die auf China ausgerichtete App im Inland auf ICP-gemeldeter Infrastruktur aus — ohne Neuaufbau und niemals irgendeine Form von Umgehung. Behandeln Sie die Einzelheiten als ein mit Rechtsbeistand zu klärendes Risiko.
Compliance-Momentaufnahme
- ✓ Erreichbarkeit ist nicht die Hürde. SAP Concur ist Reise-und-Spesen-Enterprise-SaaS, die aus Festlandchina erreicht wird, kein am Grenze blockierter Verbraucherdienst. Ob die App lädt, ist nicht die China-Frage.
- ! SAP Concurs aktueller C5-Audit nennt sechs Rechenzentren — Dublin, Frankfurt, Nord-Virginia, Ohio, Oregon und Tokio — keines in Festlandchina, die Reise- und Spesendaten Ihrer China-Mitarbeiter ruhen also offshore.
- ! Die Kerndaten eines Spesen-Tools sind weitgehend sensible PI nach PIPL Artikel 28 — Firmenkarten- und Bankdetails, ID-Nummern und Aufenthaltsorte/Reiserouten — die eine spezifische Notwendigkeit, strengere Schutzmaßnahmen, eine gesonderte Einwilligung und eine Folgenabschätzung brauchen.
- ! Diese Daten in einem Offshore-SAP-Concur zu halten ist ein Grenztransfer (数据出境) nach PIPL Artikel 38–40: Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus (CAC-Sicherheitsbewertung, CAC-Standardvertrag oder Zertifizierung). Eine Datenexport-Sicherheitsbewertung kann bei Menge oder Sensibilität greifen.
- ! Für einen Betreiber kritischer Informationsinfrastruktur verlangt Cybersicherheitsgesetz Art. 39 (vormals Art. 37), dass in China erzeugte personenbezogene Daten in China gespeichert werden — eine Pflicht, die ein Offshore-Rechenzentrum nicht erfüllen kann. Ein enger HR-Management-Weg von 2024 kann den Mechanismus für manche Mitarbeiterdaten erleichtern, aber nicht die Einwilligungs-, Sensible-PI- oder Residenz-Pflichten.
- ✓ Der rechtmäßige Weg: China-Reise- und -Spesendaten im Inland auf einer eingewilligten, PIPL-konformen Grundlage halten, ins Ausland nur senden, was rechtmäßig gehen darf, SAP Concur für Ihre anderen Märkte behalten und die auf China ausgerichtete App im Inland auf ICP-gemeldeter Infrastruktur ausliefern — niemals irgendeine Form von Umgehung.
Was die offizielle SAP Concur-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| SAP Concurs aktueller Audit-Geltungsbereich nennt sechs Rechenzentren — und keines ist in Festlandchina. SAPs SAP Concur C5 Audit Report 2026 erklärt: „The scope of this report covers the following data centers:“ und listet Dublin (Irland), Frankfurt (Deutschland), Nord-Virginia, Ohio und Oregon (USA) und Tokio (Japan), für den Audit-Zeitraum 1. April 2025 bis 31. März 2026. Kein Festlandchina-Standort erscheint, die Reise- und Spesendaten, die SAP Concur für Ihre China-Mitarbeiter hält, ruhen also offshore. | SAP Trust Center — SAP Concur C5 Audit Report 2026 (sap.com), abgerufen 2026-10-09 |
| Die Kerndaten eines Spesen-Tools sind sensible personenbezogene Daten nach chinesischem Recht. SAP Concur erfasst Finanzkonten (Firmenkarten- und Bankerstattungs-Details), Reiserouten und Standorte und häufig Pass- oder nationale ID-Nummern. Nach PIPL Artikel 28 sind Finanzkonten und individuelle Aufenthaltsorte ausdrücklich sensible personenbezogene Daten, die einen spezifischen Zweck und eine Notwendigkeit, strengere Schutzmaßnahmen, eine gesonderte Einwilligung und eine Folgenabschätzung zum Schutz personenbezogener Daten erfordern (PIPL Artikel 28–30, 55). | Gesetz zum Schutz personenbezogener Daten der VR China, Artikel 28–30, 55 (cac.gov.cn), abgerufen 2026-10-09 |
| Die Spesendaten von China-Mitarbeitern offshore zu halten ist ein PIPL-Grenztransfer. Von Menschen in Festlandchina erhobene personenbezogene Daten zu einem SAP-Concur-Konto zu verschieben, das in den USA, Irland, Deutschland oder Japan gehostet ist, löst PIPL Artikel 38–40 aus: Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus — eine CAC-Sicherheitsbewertung, der CAC-Standardvertrag oder eine Zertifizierung — mit einer möglichen Datenexport-Sicherheitsbewertung bei Menge oder Sensibilität. | Gesetz zum Schutz personenbezogener Daten der VR China, Artikel 38–40 (cac.gov.cn), abgerufen 2026-10-09 |
| Für manche Verarbeiter müssen die Daten in China bleiben — und ein enger HR-Weg löscht die Pflichten nicht. Wo der Verarbeiter ein Betreiber kritischer Informationsinfrastruktur ist, müssen in China erzeugte personenbezogene Daten im Festland gespeichert werden (Cybersicherheitsgesetz Art. 39, vormals Art. 37; PIPL Art. 40) — was ein Offshore-Rechenzentrum nicht kann. Chinas Regeln zu grenzüberschreitenden Datenflüssen von 2024 schufen einen engeren Weg für Daten, die für grenzüberschreitendes Personalwesen-Management notwendig sind, aber er beseitigt weder die Einwilligungs-, Sensible-PI- oder Folgenabschätzungs-Pflichten noch die inländische Speicherpflicht eines Betreibers kritischer Informationsinfrastruktur. | PIPL Art. 40 (cac.gov.cn); Cybersicherheitsgesetz der VR China Art. 39 (vormals Art. 37); Bestimmungen zur Förderung und Regulierung grenzüberschreitender Datenflüsse (2024), abgerufen 2026-10-09 |
Quellen vom 21YunBox Compliance-Team am 9. Oktober 2026 geprüft.
Für ein Unternehmen, das SAP Concur über eine China-Belegschaft betreibt, ist der Instinkt, zu fragen, ob Mitarbeiter in Shanghai oder Shenzhen die App öffnen und eine Spesenabrechnung einreichen können. Sie können es im Allgemeinen — SAP Concur ist Reise-und-Spesen-Enterprise-Software, die vom Festland aus erreicht wird, kein am Grenze blockierter Verbraucherdienst. Laden ist also nicht, wo die China-Entscheidung getroffen wird. Was sie entscheidet, ist, wo die Reise- und Spesendaten, die SAP Concur über Ihre China-Mitarbeiter führt, zur Ruhe kommen, und ob diese Daten — vieles davon sensibel nach chinesischem Recht — überhaupt eine rechtmäßige Grundlage hatten, das Land zu verlassen.
SAP Concur betreibt kein Rechenzentrum in Festlandchina. Sein eigener C5-Audit-Bericht von 2026 listet genau sechs — Dublin, Frankfurt, Nord-Virginia, Ohio, Oregon und Tokio — die Belege, Firmenkarten- und Bankerstattungs-Details, Reiserouten und die Pass- oder nationalen ID-Nummern, die Ihr China-Personal eingibt, kommen also in einer dieser Offshore-Regionen zur Ruhe. In dem Moment, in dem sie das tun, haben Sie einen Grenztransfer (数据出境) personenbezogener Daten gemacht, und ein eigener Rechtskörper entscheidet, ob er erlaubt war.
SAP Concur in China auf einen Blick
| Worüber es entscheidet | In SAP Concurs eigenen Worten — und Chinas Recht |
|---|---|
| Was es ist | SAP Concur ist Cloud-Reise-und-Spesen-Management (Expense, Travel, Invoice). Um zu erstatten und Reisen zu buchen, erfasst es Firmenkarten- und Bankdetails, Reiserouten und Standorte und häufig Pass- oder nationale ID-Nummern — ein kontinuierlicher Datensatz der Finanzen und Bewegungen identifizierbarer Mitarbeiter. |
| Ist es vom Festland aus erreichbar? | Ja, im gewöhnlichen Sinn: SAP Concur ist Enterprise-SaaS, die von China aus erreicht wird, keine am Grenze blockierte Verbraucherplattform. Erreichbarkeit ist nicht die China-Frage. (Grenzüberschreitender Zugriff und Sync zu einem Offshore-Rechenzentrum können inkonsistent sein — eine operative Sache, nicht die Entscheidung.) |
| Wo sitzen die Spesendaten? | Offshore. SAPs aktueller C5-Audit nennt sechs Rechenzentren — Dublin, Frankfurt, Nord-Virginia, Ohio, Oregon und Tokio — keines in Festlandchina. Die Reise- und Spesendatensätze Ihrer China-Mitarbeiter ruhen in einem davon. |
| Welche Art von Daten ist es? | Weitgehend sensible personenbezogene Daten. PIPL Artikel 28 behandelt Finanzkonten und individuelle Aufenthaltsorte ausdrücklich als sensible PI, und die Karten-, Bank-, Standort- und ID-Daten, die ein Spesen-Tool hält, fallen hinein — mit der Anforderung eines spezifischen Zwecks und einer Notwendigkeit, strengerer Schutzmaßnahmen, einer gesonderten Einwilligung und einer Folgenabschätzung. |
| China-Spesendaten hineinzuerheben | Sie in einem Offshore-SAP-Concur zu halten ist ein Grenztransfer (数据出境) nach PIPL Artikel 38–40: Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus (CAC-Sicherheitsbewertung, CAC-Standardvertrag oder Zertifizierung). Eine Datenexport-Sicherheitsbewertung kann bei Menge oder Sensibilität greifen. Für einen Betreiber kritischer Informationsinfrastruktur setzt Cybersicherheitsgesetz Art. 39 (vormals Art. 37) eine inländische Speicherpflicht, die eine Offshore-Region nicht erfüllen kann. |
| Der rechtmäßige Weg | Halten Sie die China-Reise- und -Spesendaten im Inland auf einer eingewilligten, PIPL-konformen Grundlage, senden Sie ins Ausland nur, was rechtmäßig gehen darf, behalten Sie SAP Concur für Ihre anderen Märkte und liefern Sie die auf China ausgerichtete App im Inland auf ICP-gemeldeter Infrastruktur aus. 21YunBox kartiert, lokalisiert und liefert aus; es verwendet oder empfiehlt niemals eine Umgehung welcher Art auch immer. |
Ein Spesen-Tool hält überwiegend sensible personenbezogene Daten
Reise- und Spesenmanagement ist seiner Natur nach ein Sensible-Daten-System. Um einen Mitarbeiter zu erstatten, erfasst SAP Concur die Finanzkonten hinter der Zahlung — Firmenkartennummern, Bankerstattungs-Details — und um Reisen zu buchen und abzurechnen, erfasst es Reiserouten, Hotelaufenthalte und Standorte, häufig neben einer Pass- oder nationalen ID-Nummer. Nach Chinas Gesetz zum Schutz personenbezogener Daten sind sensible personenbezogene Daten solche, deren Leck oder Missbrauch leicht die Würde einer Person oder ihre persönliche oder Vermögenssicherheit schädigen könnte, und Artikel 28 nennt Finanzkonten und individuelle Aufenthaltsorte ausdrücklich darunter. Die Karten-, Bank- und Standortdaten, die ein Spesen-Tool führt, sitzen genau in dieser Kategorie, und Pass- oder nationale ID-Nummern, die für Reisen erhoben werden, werden routinemäßig ebenfalls als sensibel behandelt.
Das hebt die Latte, statt sie zu senken. Sensible personenbezogene Daten überhaupt zu verarbeiten erfordert einen spezifischen Zweck und eine nachgewiesene Notwendigkeit, strengere Schutzmaßnahmen, eine gesonderte Einwilligung, die sich von jeder allgemeinen HR- oder Produktvereinbarung unterscheidet, und eine Folgenabschätzung zum Schutz personenbezogener Daten (PIPL Artikel 28–30 und 55). Diese sensiblen Daten für Ihre China-Mitarbeiter in einem Offshore-SAP-Concur zu halten erledigt diese Pflichten nicht — und es fügt eine weitere hinzu, denn nun verlässt auch die am strengsten geschützte Datenkategorie das Land.
Offshore-Spesendaten sind ein Grenztransfer unter PIPL
Weil SAP Concur Ihr Konto in einem seiner sechs Offshore-Rechenzentren speichert, sitzen die Reise- und Spesendatensätze, die es für Menschen in Festlandchina führt, standardmäßig außerhalb des Festlands. Sie dorthin zu verschieben ist ein Grenztransfer personenbezogener Daten, und PIPL legt die Pflicht auf den Verarbeiter — Sie, den Arbeitgeber, nicht SAP Concur, den Auftragsverarbeiter. Artikel 38–40 verlangen Mitteilung, eine gesonderte Einwilligung für den Auslands-Transfer und einen Transfermechanismus: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. Wo die Menge oder Sensibilität hoch ist, kann Chinas Datenexport-Sicherheitsbewertung (数据出境安全评估) verpflichtend sein, bevor irgendetwas geht. Und wenn Ihre Organisation ein Betreiber kritischer Informationsinfrastruktur ist, verlangt Art. 39 des Cybersicherheitsgesetzes (vormals Art. 37 — die Datenlokalisierungs-Bestimmung wurde durch die Änderung von 2025 umnummeriert, die am 1. Januar 2026 in Kraft trat, mit unveränderter Substanz), dass in China erzeugte personenbezogene Daten in China gespeichert werden, eine Pflicht, die ein Offshore-Rechenzentrum nicht erfüllen kann.
Eine Nuance ist es wert, benannt zu werden, denn ein sorgfältiger Käufer wird sie aufwerfen. Chinas Regeln von 2024 zu grenzüberschreitenden Datenflüssen öffneten einen engeren Weg für personenbezogene Daten, die wahrhaft notwendig für grenzüberschreitendes Personalwesen-Management nach rechtmäßig angenommenen Arbeitsregeln sind, was den Transfermechanismus-Schritt für manche Mitarbeiterdaten erleichtern kann. Es ist keine pauschale Ausnahme: Es beseitigt nicht die Mitteilungs-, Einwilligungs-, Sensible-PI- und Folgenabschätzungs-Pflichten; es deckt keine Daten über Menschen ab, die nicht Ihre Mitarbeiter sind (eine dritte Partei, die in einer Reise oder auf einer Rechnung genannt wird); und es berührt nicht die inländische Speicherpflicht eines Betreibers kritischer Informationsinfrastruktur. Ob Ihre Spesenflüsse in diesen Weg passen und was Ihre Sensible-PI-Handhabung sagen muss, ist ein mit Rechtsbeistand gegen das, was Sie tatsächlich erheben, zu klärendes Risiko.
Eine China-„Datenoption“, fapiao, und warum es eine zu klärende Frage ist
SAP Concur baut durchaus für China — es hat China-spezifische Fähigkeiten wie fapiao-(发票-)E-Rechnungs-Handhabung für lokale Spesenabrechnung angeboten, und ältere Produktdokumentation band bestimmte China-Features an eine China-basierte Umgebung, betrieben mit einem lokalen Partner. Diese Geschichte zählt, aber sie ist keine aktuelle Garantie: SAP Concurs gegenwärtiger C5-Audit-Geltungsbereich nennt nur die sechs Offshore-Rechenzentren oben, mit keinem Festlandchina-Standort darunter. Ob eine im Festland ansässige SAP-Concur-Umgebung heute in Ihrem Vertrag verfügbar ist, wer sie rechtlich betreibt und welche Daten sie tatsächlich im Inland hält, sind also Fragen, die direkt mit Ihrem SAP-Concur-Account-Team und Ihrem Rechtsbeistand zu klären sind — nicht anzunehmen. Diese Seite stellt nur dar, was SAP Concur heute veröffentlicht, und heute ist das ein Offshore-Fußabdruck.
Nichts davon ist ein Urteil, dass SAP Concur „blockiert“ oder „illegal“ ist. Es ist eine Risikokarte: Welche Pflichten greifen, hängt von Ihrer Gesellschaft, den sensiblen Daten, die Ihr Deployment hält, Ihrer Rolle nach chinesischem Recht und Ihrer China-Belegschaft ab — es lohnt, es mit Rechtsbeistand zu klären, bevor Ihr Spesenprozess davon abhängt.
Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern
Es gibt einen rechtmäßigen Weg, Reise und Spesen für eine China-Belegschaft zu betreiben, und er hat eine Form. Zuerst kartieren: Unser China-Compliance-Team arbeitet Ihre PIPL-Exponierung an beiden Fronten durch — die Sensible-PI-Verarbeitung und den Grenztransfer — und identifiziert, welche in China erhobenen Spesen-, Karten-, Reise- und Identitätsdaten im Inland bleiben müssen, was rechtmäßig gehen darf, wo eine Datenexport-Sicherheitsbewertung oder eine Speicherpflicht nach Art. 39 greift und was Ihre Einwilligung und Mitteilung abdecken müssen. Die rechtlichen Schlüsse werden mit Ihrem Rechtsbeistand geklärt; wir bauen das technische Bild, das sie speist.
Dann lokalisieren: Wir stellen eine China-ansässige Grundlage für die China-Reise- und -Spesendaten auf und integrieren sie — einen eingewilligten, inländischen Ort, an dem sie leben und verarbeitet werden —, sodass die Erstattung weiter funktioniert, während diese sensiblen Daten aufhören, das Festland standardmäßig zu verlassen, und Sie SAP Concur für die Märkte behalten, wo es Ihnen bereits dient.
Dann ausliefern: Die auf China ausgerichtete App, die Ihre Mitarbeiter tatsächlich öffnen, ist ein im Festland laufender Dienst, rechtskonforme inländische Auslieferung zählt also ebenso wie Speicherung. Der 21YunBox Optimizer sitzt vor dem SAP-Concur-Zugang, den Ihr China-Personal bereits nutzt, und liefert ihn aus ICP-gemeldeter Infrastruktur innerhalb des Festlands aus, ohne Neuaufbau und ohne Re-Plattformierung. Was 21YunBox niemals tut, und was niemand rechtmäßig kann, ist, Ihnen einen Weg um Chinas Datenexport-Regeln oder um irgendeine Netzbeschränkung herum zu geben: Wir lokalisieren, was bleiben muss, und liefern im Inland aus, und wir schaffen personenbezogene Daten niemals über irgendeinen verborgenen Weg aus dem Land. Das Ergebnis ist ein Reise-und-Spesen-Prozess, der legal und rechtskonform für Ihre Nutzer in China läuft.
Compliance-Einschätzung anfordern →
Weiterführend:
- Grenzüberschreitende Datentransfers nach PIPL
- Chinas Datenexport-Sicherheitsbewertung
- Chinas Cybersicherheitsgesetz (Datenlokalisierung, Artikel 39)
- So erhalten Sie eine ICP-Beian für China
Häufige Fragen
Wo speichert SAP Concur die Spesendaten meiner China-Mitarbeiter?
Offshore. SAP Concurs aktueller C5-Audit nennt sechs Rechenzentren — Dublin, Frankfurt, Nord-Virginia, Ohio, Oregon und Tokio — keines in Festlandchina, die Belege, Karten- und Bankdetails, Reiserouten und ID-Nummern Ihrer China-Mitarbeiter ruhen also in einer dieser Offshore-Regionen. Das macht ihre Erhebung zu einem Grenztransfer sensibler personenbezogener Daten nach PIPL. SAP Concur hat historisch auf eine China-basierte Umgebung verwiesen, die mit einem lokalen Partner betrieben wird, aber ob eine im Festland ansässige Option heute in Ihrem Vertrag verfügbar ist und wer sie betreibt, ist eine mit Ihrem SAP-Concur-Account-Team und Rechtsbeistand zu klärende Frage.
Ist das Senden von China-Spesendaten an SAP Concur ein Grenztransfer?
Wenn Ihr SAP-Concur-Konto in einer seiner Offshore-Regionen gehostet ist — die Voreinstellung, da es in seinem aktuellen Audit-Geltungsbereich kein Festlandchina-Rechenzentrum nennt — dann werden die Reise- und Spesendaten, die es für Ihre China-Mitarbeiter hält, offshore gespeichert, ein Grenztransfer (数据出境) nach PIPL. Das bedeutet Mitteilung, eine gesonderte Einwilligung und einen Transfermechanismus (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung), plus die strengeren Pflichten nach Artikel 28, weil Karten-, Bank-, ID- und Standortdaten sensible PI sind, und möglicherweise eine Datenexport-Sicherheitsbewertung. Ein enger HR-Management-Weg von 2024 kann den Mechanismus für manche Mitarbeiterdaten erleichtern, aber nicht die Einwilligungs- oder Sensible-PI-Pflichten. Klären Sie Ihre genauen Pflichten mit Rechtsbeistand.
Kann 21YunBox unser SAP-Concur-Setup in China rechtskonform machen?
Ja — durch Kartieren, Lokalisieren und Ausliefern, niemals durch Umgehung. Unser China-Team kartiert die PIPL-Grenzübertritts-, Sensible-PI- und Residenz-Pflichten, die sich an die Reise- und Spesendaten heften, die SAP Concur erhebt, für Ihre Gesellschaft, Ihre Datenmengen und Ihre Belegschaft; lokalisiert die China-Spesendaten auf eine eingewilligte, inländische Grundlage, sodass sie aufhören, das Festland standardmäßig zu verlassen; und liefert die auf China ausgerichtete App im Inland auf ICP-gemeldeter Infrastruktur aus, vor dem SAP-Concur-Stack, den Sie bereits betreiben. Nehmen Sie Kontakt auf, um Ihren konkreten Fall durchzugehen.
