Funktioniert Esker in China? PIPL-Grenztransfer, Datenlokalisierung & Regeln für wichtige Daten

Für ein Unternehmen, das Esker über eine China-Operation betreibt, ist der Instinkt, zu fragen, ob es von Shanghai aus öffnet — und das tut es: Esker ist Multi-Tenant-Cloud-Software, die China an der Grenze nicht blockiert. Erreichbarkeit ist also nicht der Ort, an dem die China-Entscheidung fällt. Was sie entscheidet, ist, wo die Rechnungen, Lieferanten- und Kundenstammdaten und AP/AR-Datensätze, die Ihre China-Rechtsperson eingibt, zur Ruhe kommen — und ob diese Ausgaben- und Beschaffungsdaten „wichtige Daten“ sind, die ohne eine behördliche Bewertung nicht ausreisen dürfen. Esker ist eine Cloud-Plattform französischen Ursprungs für die Dokumentenautomatisierung in Source-to-Pay- und Order-to-Cash-Prozessen, betrieben auf Microsoft Azure und AWS ohne Region in Festlandchina; die Standorte, die es „on-premises“ nennt, sind seine eigenen, in Frankreich, Deutschland und den USA. Diese Datensätze liegen also im Ausland — ein PIPL-Grenztransfer, keine Geschwindigkeitsfrage, mit einer branchenabhängigen „Wichtige-Daten“-Tür, Einwilligungs- und Residency-Pflichten und einer ICP-Registrierung für jede auf China ausgerichtete Lieferantenoberfläche.

Esker in China auf einen Blick

Was Sie tatsächlich halten — Lieferantendaten, Ausgaben und den AP/AR-Datensatz

Esker hält keine Abstraktion; es hält die Belege, die Ihren Einkauf und Ihre Abrechnung betreiben. Auf der Source-to-Pay-Seite liegen Bestellanforderungen und Bestellungen, Lieferantenstammdaten und die Kreditorenrechnungen, die Esker erfasst, kontiert und zur Freigabe und Zahlung weiterleitet. Auf der Order-to-Cash-Seite liegen Kundenstammdaten, Kundenaufträge, das Debitorenbuch und Inkasso- und Streitfalldatensätze. Um all das herum sind die Menschen: Lieferanten- und Kundenkontakte, die Einkäufer und Freigebenden in jedem Workflow und die Mitarbeitenden, deren Identitäten sich hindurchbewegen. Für eine China-Operation ist dieser Datensatz dicht mit den personenbezogenen Informationen chinesischer Lieferanten, Kunden und Mitarbeitender — und mit den Ausgaben-, Preis- und Beschaffungsdaten, die beschreiben, wie Ihre China-Lieferkette tatsächlich läuft.

Wo lebt sie? Im Ausland. Eskers eigene Cloud-Platform-Seite verortet den Dienst auf seinem Netz von 11 Rechenzentren — Esker-betriebene Standorte in Frankreich, Deutschland und den USA, Microsoft-Azure-Regionen in Australien, Kanada, Irland, den Niederlanden und Singapur sowie AWS in Frankreich, Großbritannien und den USA — und beschreibt Esker als eine „Multi-tenant platform operating on MS Azure, AWS & more“. Keiner dieser Standorte liegt im Festland, und es gibt keinen kundenbetriebenen, inländischen Build, der dort bereitgestellt werden könnte. In dem Moment also, in dem Ihre China-Belegschaft und -Gegenparteien Rechnungen erstellen, Lieferanten onboarden und AR-Buchungen vornehmen, kommen diese Datensätze außerhalb Chinas zur Ruhe.

Die Türen: grenzüberschreitende personenbezogene Daten, wichtige Daten und Inland-Speicherung

Sobald die Daten im Ausland sind, entscheidet ein anderes Rechtsgebiet, ob sie dorthin durften. Die Lieferanten-, Kunden- und Mitarbeiterdetails in Esker sind personenbezogene Informationen nach Chinas Gesetz zum Schutz personenbezogener Informationen, und sie in eine Azure- oder AWS-gehostete Instanz außerhalb Chinas zu laden, ist ein Grenztransfer (数据出境). PIPL legt die Pflicht auf den Handelnden — Ihre China-Rechtsperson, nicht Esker, den Auftragsverarbeiter: Artikel 38–40 verlangen einen Hinweis, eine gesonderte Einwilligung, die sich von jeder allgemeinen Zustimmung zur Nutzung Ihrer Systeme unterscheidet, und einen Transfermechanismus — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung — mit den Minimierungs- und Einwilligungspflichten der Artikel 13 und 23 obendrauf.

Die unterscheidende Hälfte für eine Beschaffungsplattform sind gar nicht die personenbezogenen Daten. Konsolidierte Ausgaben-, Beschaffungs-, Lieferantennetzwerk- und Logistikdaten können nach dem Datensicherheitsgesetz und den nationalen und sektoralen Wichtige-Daten-Katalogen als „wichtige Daten“ (重要数据) behandelt werden — am ehesten in strategischen Branchen wie Fertigung, Automobil, Pharma, Energie und Logistik. Wo Ihre Daten in diese Klasse fallen, erfordert ihre Auslandsübermittlung vor jeder Ausreise eine verpflichtende CAC-Sicherheitsbewertung für den Datenexport (数据出境安全评估), unabhängig davon, ob personenbezogene Informationen beteiligt sind oder wie viel. Für eine AP/AR- und Beschaffungsplattform ist dies branchenabhängig statt automatisch — aber es ist die Tür, die übersehen wird, weil die Risikolage in der strategischen Natur der Daten selbst besteht, nicht nur in der daran gehängten PII.

Residency ist die dritte Tür. Ist Ihre Organisation ein Betreiber kritischer Informationsinfrastruktur oder ein Verarbeiter großer Mengen, verlangt Artikel 39 (vormals Artikel 37) des Cybersicherheitsgesetzes, dass in China erzeugte personenbezogene Informationen im Festland gespeichert werden — eine Inland-Pflicht, die keine Offshore-Esker-Region erfüllen kann. Welche Türen gelten und in welcher Kombination, hängt von Ihrer Branche, Ihren Datenmengen und Ihrer Rolle als Handelnder ab; die Gesetzesseiten legen die Prüfungen dar.

Das Einloggen ist nicht die Frage — eine compliant Inland-Lieferkette ist es

Weil Esker Multi-Tenant-Cloud-Software ohne Region in Festlandchina und ohne kundenbetriebenen, inländischen Build ist, können Sie die Daten nicht durch Verlagerung des Produkts lokalisieren: Es gibt im Festland nichts bereitzustellen, und ein Wechsel zwischen seinen Offshore-Azure- und -AWS-Regionen verschiebt den Transfer bloß, er beendet ihn nicht. Die rechtmäßige Gestalt ist daher, die chinesischen Lieferanten-, Kunden- und AP/AR-Daten auf einer Inland-Grundlage zu halten, Esker nur das zu senden, was für den Konzernprozess rechtmäßig ausreisen darf, die Ausgaben- und Lieferantennetzwerkdaten zu klassifizieren und jede Wichtige-Daten- und Datenexport-Bewertungspflicht zu handhaben, die personenbezogenen Lieferanten- und Mitarbeiterinformationen zu minimieren und dafür eine Einwilligung einzuholen und jede auf China ausgerichtete Oberfläche — ein Lieferantenportal, eine Onboarding- oder Self-Service-Seite, die Festland-Lieferanten bedient — als öffentlichen Dienst zu behandeln, der eine ICP-Registrierungspflicht trägt und eine compliant, inländische Zustellung benötigt. Das ist ein Residency-und-Zustellungs-Design, keine Frage, die Offshore-Cloud schneller laden zu lassen, und niemals ein verborgener Pfad, der die Daten trotzdem ins Ausland verschickt. Nichts davon ist ein Urteil, dass Esker „blockiert“ oder „illegal“ sei: Ob Ihre Lieferkettendaten wichtige Daten sind, hängt von Ihrer Branche ab, und ob Sie eine gesonderte Einwilligung, einen Transfermechanismus, eine Inland-Speicherung, eine Datenexport-Bewertung, eine ICP-Registrierung oder eine Kombination davon schulden, hängt von Ihrer Rechtsperson, Ihren Datenmengen und davon ab, wer Ihre Nutzer sind — es lohnt sich, die Einzelheiten mit Rechtsberatung zu klären, bevor Ihre China-Operation davon abhängt.

Der rechtmäßige Pfad — kartieren, lokalisieren, ausliefern

Es gibt einen compliant Weg, Beschaffung und Abrechnung für eine China-Operation zu betreiben, und er hat eine Gestalt. Zuerst kartieren: Unser China-Team inventarisiert, was Ihr Esker hält — welche personenbezogenen Lieferanten-, Kunden- und Mitarbeiterinformationen, welche Ausgaben-, Vertrags- und Beschaffungsdatensätze und welche Lieferantennetzwerk- und Logistikdaten Ihre China-Rechtsperson erzeugt —, wo jedes verarbeitet und gespeichert wird (eine Azure- oder AWS-Region, ohne Option in Festlandchina) und ob etwas davon „wichtige Daten“ sind. Die rechtlichen Schlüsse werden mit Rechtsberatung geklärt; wir bauen das technische Bild, das sie speist.

Dann lokalisieren: Weil Esker keine Festland-Region oder kundenbetriebenen Build zum Lokalisieren bietet, helfen wir Ihnen, die chinesischen Lieferanten- und AP/AR-Daten auf eine China-ansässige Grundlage zu stellen — ein eingewilligtes, inländisches Verarbeitungs- und Speichermuster — sodass die China-Datensätze und chinesischen personenbezogenen Daten ansässig bleiben und aufhören, das Land standardmäßig zu verlassen, während Sie Esker für Ihre übrigen Märkte und den Konzernprozess behalten. Wir klassifizieren die Ausgaben- und Lieferantennetzwerkdaten, handhaben jede Wichtige-Daten- und Datenexport-Bewertungspflicht und minimieren und schützen die personenbezogenen Lieferanten- und Mitarbeiterinformationen, sodass das, was danach die Grenze überschreitet, nur das ist, was sie rechtmäßig überschreiten darf. Lokalisieren bedeutet, die Daten auf einem Inland-Pfad zu halten — nie eine verdeckte Route, die sie trotzdem ins Ausland verschickt.

Dann ausliefern: Die auf China ausgerichteten Oberflächen — ein Lieferantenportal, eine Onboarding- oder SRM-Self-Service-Seite, die Festland-Lieferanten bedient — sind ein öffentlicher Dienst im Festland und tragen daher eine ICP-Registrierungspflicht (备案) und benötigen eine compliant, inländische Zustellung. 21YunBox liefert sie im Inland aus — der 21YunBox Optimizer — gesetzt vor das, was Sie bereits betreiben, ohne Rebuild und ohne Re-Platforming, sodass Ihre Festland-Lieferanten und -Mitarbeiter den Dienst zuverlässig auf ICP-registrierter Infrastruktur erreichen. Das Ergebnis ist ein Beschaffungs- und Abrechnungs-Stack, der für Ihre Nutzer in China legal und compliant läuft. 21YunBox nutzt oder empfiehlt niemals irgendeine Form der Umgehung — wir lokalisieren, was bleiben muss, liefern den Rest compliant von innerhalb des Festlands aus und verschieben personenbezogene Informationen niemals heimlich über die Grenze.

Compliance-Einschätzung anfordern →

Weiterführende Lektüre:

• Grenzüberschreitende Datenübermittlungen nach PIPL
• Chinas Maßnahmen zur Sicherheitsbewertung des Datenexports
• Chinas Cybersicherheitsgesetz (Datenlokalisierung, Artikel 39)
• So erhalten Sie eine ICP-Registrierung für China

Verwandte Technologien

SAP Ariba

SAP Ariba

Blue Yonder

Blue Yonder

SAP Concur

SAP Concur

Coupa

Coupa

Ivalua

Ivalua

JAGGAER

JAGGAER

Kinaxis

Kinaxis

Manhattan Associates

Manhattan Associates

o9 Solutions

o9 Solutions