Funktioniert Cornerstone OnDemand in China? Mitarbeiter-Datenresidenz, ICP & Grenztransfer-Regeln

Was die offizielle Cornerstone OnDemand-Dokumentation über China sagt

Fakt	Primärquelle
In Cornerstones eigener Hosting-Dokumentation: Kunden „must select a single hosting location,“ und „the customer's physical data shall remain hosted in the selected location(s).“ Die Standorte, die es für seine Lern- und Talent-Produkte anbietet — Cornerstone, Cornerstone Xplor und Saba Cloud — sind in der EU, dem UK, Nordamerika und Australien. Keiner ist in Festlandchina, und keiner ist ein Server, den Sie selbst hosten.	Cornerstone — Hosting and Subprocessors (Hosting Locations), abgerufen 2026-10-14
Cornerstones eigene Client-Datenschutzrichtlinie sagt, „your data may be processed and transferred in and to the United States and other countries,“ und dass „all locations either benefit from an Adequacy Decision or from alternative suitable safeguards,“ und stützt die grenzüberschreitende Verarbeitung auf die EU-U.S.-, UK- und Swiss-U.S. Data Privacy Frameworks. Das sind GDPR-Welt-Instrumente — keines ist ein Mechanismus, den China anerkennt, um personenbezogene Daten aus dem Festland zu exportieren.	Cornerstone — Client Portal Privacy Policy (International Transfers; Data Privacy Framework), abgerufen 2026-10-14
Personenbezogene Daten von Personal in China zu erheben und sie in einem Offshore-Cornerstone zu halten ist ein Grenztransfer unter dem Gesetz zum Schutz personenbezogener Daten. Der Verarbeiter — der Arbeitgeber, nicht Cornerstone — muss Mitteilung geben, gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung (PIPL Artikel 38–40). Eine HR-Management-Grundlage (Artikel 13(2)) erlaubt die Verarbeitung, schaltet aber die Grenzübertritts-Regeln nicht ab.	PIPL Artikel 13, 38–40 — 21YunBox gov-doc-Referenz, abgerufen 2026-10-14
Vergütung, behördliche IDs und alle Gesundheits- oder biometrischen Onboarding-Daten sind sensible personenbezogene Daten, die einen spezifischen Zweck, eine gesonderte Einwilligung und eine vorherige Folgenabschätzung verlangen (PIPL Artikel 28–30, 55). Und für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen müssen in China erhobene personenbezogene Daten innerhalb des Festlands gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)) — eine Pflicht, die eine Cloud ohne Festlandchina-Region für ihr System-of-Record nicht erfüllen kann; inländische Speicherung rechtmäßig aufzustellen bringt eine ICP-Beian in den Geltungsbereich.	PIPL Artikel 28–30, 40, 55; Cybersicherheitsgesetz Art. 39 (vormals Art. 37) — 21YunBox gov-doc-Referenz, abgerufen 2026-10-14

Quellen vom 21YunBox Compliance-Team am 14. Oktober 2026 geprüft.

Für ein Unternehmen mit Menschen in Festlandchina ist die Frage zu Cornerstone OnDemand nicht, wie schnell seine Bildschirme laden — es ist, ob der Dienst die Datensätze dieser Menschen überhaupt rechtmäßig halten darf. Cornerstone ist eine Cloud-Lern-, -Talent- und -HCM-Plattform: Es ist das System-of-Record für Ihre Belegschaft und hält Mitarbeiterprofile, Leistungsbeurteilungen, Lern- und Zertifizierungshistorie, Nachfolge- und Kompetenzdaten und manchmal die behördlich ausgestellten Identifikatoren, die das Onboarding erhebt. Wenn Ihre China-Mitarbeiter darin erfasst werden, wird all das in eine Cornerstone-Instanz zusammengeführt, deren Hosting-Standorte offshore sind. Die Entscheidung für eine China-Belegschaft ist also nicht Erreichbarkeit und nicht Geschwindigkeit. Es ist Residenz — wo diese Mitarbeiter-Datensätze zur Ruhe kommen und ob sie je das Land verlassen durften.

Cornerstone in China auf einen Blick

Erreichbare Bildschirme, aber ein Offshore-Zuhause für den Mitarbeiter-Datensatz

Cornerstones Portale können aus dem Festland geöffnet werden — aber das sagt Ihnen nichts darüber, ob Sie die Plattform für eine China-Belegschaft nutzen dürfen. Cornerstone ist eine gehostete, mandantenfähige Cloud, und seine eigene Hosting-Seite ist explizit über Geografie: Ein Kunde wählt zu Beginn einen einzigen Hosting-Standort, die physischen Daten bleiben an diesem gewählten Standort, und die angebotenen Standorte für seine Lern- und Talent-Produkte sind in der EU, dem UK, Nordamerika und Australien. Jeder davon ist offshore, und keiner ist in Festlandchina. Solange und bis sich das ändert, hat ein China-Mitarbeiter, der in Cornerstone erfasst wird, seine System-of-Record-Daten in einer Offshore-Instanz gehalten.

Grenzüberschreitender Zugriff auf einen Offshore-Dienst aus dem Festland kann uneben sein, und die Versuchung ist, ihn durch eine Netz-Behelfslösung zu erzwingen. 21YunBox verwendet noch empfiehlt eine solche Umgehung — sie ist sowohl ein Compliance-Risiko als auch nebensächlich. Aus demselben Grund veröffentlicht diese Seite keine erstanbieterische China-Latenzzahl für Cornerstone: Geschwindigkeit ist nicht die Achse für eine Entscheidung, die sich um Residenz dreht. Die produktive Frage ist, wo die Mitarbeiterdaten zur Ruhe kommen und ob sie eine rechtmäßige Grundlage hatten, dort zu sein.

China-Mitarbeiterdaten in einem Offshore-Cornerstone sind ein Grenztransfer unter PIPL

Hier ist das Tor, das die meisten Teams verpassen. Personenbezogene Daten von Personal in Festlandchina zu erheben und sie in einer im Ausland gehosteten Cornerstone-Instanz zu halten ist ein Grenztransfer (数据出境) personenbezogener Daten nach dem Gesetz zum Schutz personenbezogener Daten. PIPL legt die Pflicht auf den Verarbeiter personenbezogener Daten — den Arbeitgeber, nicht Cornerstone, den Auftragsverarbeiter: Artikel 38–40 verlangen Mitteilung, einen Transfermechanismus (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung) und, wo Einwilligung Ihre Grundlage ist, eine gesonderte Einwilligung für den Auslands-Transfer.

Mitarbeiterdaten machen diese Einwilligung heikel. PIPL erlaubt einem Arbeitgeber durchaus, personenbezogene Daten von Personal zu verarbeiten, wo es für Personalwesen-Management nach einer rechtmäßig angenommenen Arbeitsrichtlinie oder einem Tarifvertrag notwendig ist (PIPL Artikel 13(2)), routinemäßige HR-Handhabung muss also nicht immer auf Einwilligung ruhen. Aber diese Grundlage regelt die Handhabung; sie schaltet die Grenzübertritts-Regeln nicht ab. Diese Datensätze in ein Offshore-Cornerstone zu exportieren ist ein eigener Akt, der das Transfer-Regime für sich einbindet — Mitteilung, eine rechtmäßige Grundlage und ein Transfermechanismus gelten weiterhin, und eine gesonderte Einwilligung ist selten etwas, das ein Mitarbeiter seinem Arbeitgeber frei geben kann.

Und verwechseln Sie Cornerstones europäische Qualifikationen nicht mit einer China-Antwort. Seine Client-Datenschutzrichtlinie stützt die grenzüberschreitende Verarbeitung auf das EU-U.S. Data Privacy Framework, seine UK-Erweiterung, das Swiss-U.S. DPF, EU-Angemessenheits-Entscheidungen und „suitable safeguards“. Jedes davon ist ein Instrument der GDPR-Welt. Keines ist ein Mechanismus, den China für den Export personenbezogener Daten aus dem Festland anerkennt — China akzeptiert weder das DPF noch die EU-Standardvertragsklauseln als Grundlage für China-Datenexport. „Wir halten die Zertifizierungen bereits“ ist eine europäische Antwort auf eine chinesische Frage.

Lern-, Leistungs- und ID-Daten sind sensibel — eine höhere Latte

Die Exponierung ist bei Cornerstone schärfer als bei einer gewöhnlichen Anwendung wegen dem, was der Datensatz hält. Vergütungs- und Leistungszahlen, die behördlich ausgestellten Identifikatoren, die das Onboarding erhebt, und alle Gesundheits- oder biometrischen Daten, die in einen Onboarding- oder Compliance-Schulungs-Workflow gelangen, sind sensible personenbezogene Daten nach PIPL (Artikel 28–30), und sensible personenbezogene Daten zu verarbeiten verlangt einen spezifischen Zweck, eine gesonderte Einwilligung und eine Folgenabschätzung zum Schutz personenbezogener Daten (Artikel 55). Sensible Mitarbeiterdaten oberhalb von Mengenschwellen über die Grenze zu bewegen kann zusätzlich Chinas Datenexport-Sicherheitsbewertung (数据出境安全评估) auslösen, bevor irgendetwas geht. Nichts davon hängt davon ab, wie schnell ein Bildschirm rendert; es hängt davon ab, ob die Daten eine rechtmäßige Grundlage hatten, im Ausland zu sein. Weil Mitarbeiterdaten ihrer Natur nach sensibel sind, behandeln Sie jede Zeile hier als ein mit Rechtsbeistand zu klärendes Risiko, bevor Sie darauf vertrauen.

Warum „auf eine China-Region umstellen“ nicht auf der Liste ist — und die TalentLink-Ausnahme

Bei vielen Enterprise-Werkzeugen ist der Instinkt, den Mandanten auf eine nähere Region umzuschalten und es lokalisiert zu nennen. Für Cornerstones System-of-Record gibt es keinen solchen Hebel: Seine Lern- und Talent-Produkte — Cornerstone, Cornerstone Xplor und Saba Cloud — bieten Hosting nur in der EU, dem UK, Nordamerika und Australien, es gibt also keine Festlandchina-Region, auf die China-Mitarbeiterdaten zu richten wären, und ein US-zu-EU- oder Australien-Failover verlagert nichts über die chinesische Grenze.

Eine ehrliche Ausnahme verdient Erwähnung, weil sie die Antwort nicht ändert. Cornerstones Hosting-Seite listet ein einzelnes Produkt — TalentLink, ein Legacy-Recruiting-(Applicant-Tracking-)Werkzeug aus einer früheren Übernahme — mit einer Amazon-Web-Services-„China“-Hosting-Option. Das ist nicht das HCM- und Lern-System-of-Record, um das es auf dieser Seite geht, und selbst wo eine solche Region existiert, ist Infrastruktur nicht Compliance: Ein China-Hosting-Fußabdruck allein erledigt weder die ICP-Beian, die Datenlokalisierungs-Analyse, die Gesonderte-Einwilligungs- und Sensible-Daten-Pflichten noch die MLPS-Pflichten, die sich an das Betreiben von Mitarbeiterdaten im Festland heften. Die Präsenz der AWS-China-Option eines Offshore-Anbieters für ein peripheres Produkt ist also kein Weg, Ihre Cornerstone-Belegschafts-Datensätze rechtskonform in China zu halten.

In China erhobene Mitarbeiterdaten im Inland zu halten bedeutet daher eine andere Form der Arbeit: ein China-ansässiges Zuhause für die Datensätze aufzustellen, die bleiben müssen, und Cornerstone nur zu senden, was rechtmäßig gehen darf. Diese Aufteilung — was bleiben muss und was gehen darf — ist eine rechtliche Frage, bevor sie eine technische ist, und sie ist das Herz der Aufgabe. Die Auslieferungs-Hälfte zählt auch: Jede auf China ausgerichtete Oberfläche des Systems — ein Self-Service-Lern- oder -Profil-Portal, eine Onboarding-Seite, die tatsächlich an Menschen im Festland bedient wird — ist dort ein öffentlicher Dienst, trägt also eine ICP-Beian-(备案-)Pflicht und braucht rechtskonforme, inländische Auslieferung, gebunden an eine Festland-Hosting-Ressource. „Wir betreiben schon Cornerstone für Talent und Lernen“ trägt für sich allein nicht nach China.

Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern

Es gibt einen rechtmäßigen Weg, Lernen und Talent für eine Belegschaft zu betreiben, die Festlandchina einschließt, und er hat eine Form. Zuerst kartieren: Unser China-Team arbeitet Ihre PIPL-Exponierung durch — welche in China erhobenen Mitarbeiter-Datensätze im Land bleiben müssen, was rechtmäßig gehen darf, wo eine Datenexport-Sicherheitsbewertung oder eine Speicherpflicht nach Art. 39 (vormals Art. 37) greift und was Ihr Mitteilungs-, Einwilligungs- und Folgenabschätzungs-Ablauf abdecken muss. Die rechtlichen Schlüsse werden mit Rechtsbeistand geklärt; wir bauen das technische Bild, das sie speist.

Dann lokalisieren: Wir stellen eine China-ansässige, eingewilligte Grundlage für die Mitarbeiter-Datensätze der China-Gesellschaft auf und integrieren sie, die im Land bleiben müssen — einschließlich aller sensiblen Lern-, ID- oder biometrischen Daten — während Sie Cornerstone als das System für den Rest Ihrer Belegschaft behalten und ihm nur senden, was rechtmäßig die Grenze überqueren darf.

Dann ausliefern: Jede auf China ausgerichtete Oberfläche — ein Mitarbeiter-Lern- oder -Profil-Portal, eine Onboarding-Seite, die an Menschen im Festland bedient wird — trägt eine ICP-Melde-Pflicht und braucht rechtskonforme inländische Auslieferung. Der 21YunBox Optimizer liefert sie im Inland aus, vor dem, was Sie bereits betreiben, ohne Neuaufbau und ohne Re-Plattformierung. Das Ergebnis ist ein Lern- und Talent-Setup, das legal und rechtskonform für Ihre Menschen in China läuft. Was wir niemals tun — und was niemand rechtmäßig kann — ist, Ihnen einen Weg um Chinas Datenexport-Regeln oder um irgendeine Netzbeschränkung herum zu geben: Wir lokalisieren, was bleiben muss, und liefern im Inland aus, und wir bewegen personenbezogene Daten niemals heimlich aus China.

Compliance-Einschätzung anfordern →

---

Weiterführend:

• Grenzüberschreitende Datentransfers nach PIPL
• Chinas Gesetz zum Schutz personenbezogener Daten (PIPL)
• Chinas Datenexport-Sicherheitsbewertung
• Chinas Cybersicherheitsgesetz (Datenlokalisierung, Artikel 39)
• So erhalten Sie eine ICP-Beian für China

Häufige Fragen

Speichert Cornerstone die Daten chinesischer Mitarbeiter in China?

Für das HCM- und Lern-System-of-Record nein. Nach Cornerstones eigener Hosting-Seite bieten seine Lern- und Talent-Produkte — Cornerstone, Cornerstone Xplor und Saba Cloud — Hosting nur in der EU, dem UK, Nordamerika und Australien an, keines in Festlandchina, und die Daten bleiben an dem einzigen Standort, den Sie wählen. Ein Legacy-Recruiting-Produkt, TalentLink, listet eine AWS-China-Option, aber das ist ein peripheres Applicant-Tracking-Werkzeug, nicht das Mitarbeiter-System-of-Record — und eine China-Region allein macht nichts rechtskonform.

Reicht Cornerstones EU-U.S.-DPF oder SCCs nicht, um unsere China-Mitarbeiterdaten zu bewegen?

Nein. Cornerstones Datenschutzrichtlinie stützt seine grenzüberschreitende Verarbeitung auf die EU-U.S.-, UK- und Swiss-U.S. Data Privacy Frameworks, Angemessenheits-Entscheidungen und „suitable safeguards“ — alles Instrumente der GDPR-Welt. China akzeptiert weder das Data Privacy Framework noch die EU-Standardvertragsklauseln als Grundlage für den Export personenbezogener Festland-Daten; ein PIPL-Mechanismus (eine CAC-Sicherheitsbewertung, der CAC-Standardvertrag oder eine Zertifizierung), plus Mitteilung und gesonderte Einwilligung, ist das, worauf das Recht blickt. Behandeln Sie es als ein mit Rechtsbeistand zu klärendes Risiko.

Kann 21YunBox unser Cornerstone-Setup in China rechtskonform machen?

Ja. Unser China-Team kann die Grenzübertritts-, Residenz- und Sensible-Daten-Exponierung für Ihre Gesellschaft und Belegschaftsgröße kartieren, eine China-ansässige, eingewilligte Grundlage für die Mitarbeiter-Datensätze aufstellen, die im Land bleiben müssen — einschließlich aller sensiblen Lern-, ID- oder biometrischen Daten — und jede auf China ausgerichtete Mitarbeiter-Oberfläche im Inland auf ICP-gemeldeter Infrastruktur ausliefern, ohne Neuaufbau. Sie behalten Cornerstone für den Rest Ihrer Belegschaft und senden ihm nur, was rechtmäßig gehen darf. Nehmen Sie Kontakt auf, um Ihren konkreten Fall durchzugehen.