Funktioniert Formstack in China? Datenlokalisierung, PIPL & wo Ihre Einreichungen landen
Formstack speichert Formulareinreichungen auf AWS in den Vereinigten Staaten und veröffentlicht keine Region in Festlandchina — sodass jede Einreichung eines chinesischen Nutzers ein Grenztransfer personenbezogener Informationen nach PIPL ist, mit Ihrer Organisation als Verantwortlichem. Ein Compliance-orientierter Blick auf die eigentliche Risikolage.
Funktioniert Formstack in China?
Formstack ist in Festlandchina erreichbar, aber es zur Datenerhebung von chinesischen Nutzern zu verwenden ist eine grenzüberschreitende Personendaten-Frage, keine Geschwindigkeitsfrage. Formstack speichert jede Formulareinreichung auf AWS in den Vereinigten Staaten und veröffentlicht keine Region in Festlandchina — sodass eine Einreichung eines chinesischen Nutzers das Land in dem Moment verlässt, in dem sie gespeichert wird.
In seiner eigenen Sicherheitsdokumentation erklärt Formstack, es „uses AWS in the United States as our external security hosting provider“, repliziere gespeicherte Daten nur „from US-East Region to US-West Region“, und dass „your organization owns the submission data“ und „is the Controller“. Erheben Sie von Festland-Einwohnern und Sie — der Controller, in Formstacks eigenen Worten — machen einen Grenztransfer personenbezogener Informationen, den PIPL regelt, an Server, die vollständig außerhalb des Festlands sitzen, ohne Inland-Region, auf die man zurückgreifen könnte. Die Tabelle unten zeigt Formstacks eigene Formulierung und die Regel, die jede Zeile auslöst.
Dies ist eine Risikokarte, kein Urteil — ob PIPLs Transferregeln, eine Data-Residency-Pflicht oder eine Befragungsgenehmigung gelten, hängt von Ihren Daten, Ihren Mengen und davon ab, wer Ihre Nutzer sind. Unser China-Team kann Ihre Risikolage mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! Formulareinreichungen aus China landen auf AWS in den USA, außerhalb des Festlands
- ! Diese Einreichungen sind personenbezogene Daten, die die Grenze überschreiten — PIPL gilt
- ! In Formstacks eigenen Worten sind Sie der „Controller“ — die Pflicht ist Ihre
- ✕ Formstack veröffentlicht keine Region in Festlandchina, um die Daten im Inland zu halten
- ! Markt- oder Sozialbefragungen von Festland-Einwohnern können eine Befragungsgenehmigung benötigen
Was die offizielle Formstack-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| Formstack speichert Ihre Formulardaten auf AWS in den Vereinigten Staaten — es gibt keine Region in Festlandchina. In seiner eigenen Sicherheitsdokumentation erklärt Formstack, es „uses AWS in the United States as our external security hosting provider“, und dass „all data stored on our AWS S3 is replicated consistent from US-East Region to US-West Region“ — beides Regionen der Vereinigten Staaten. Nirgends veröffentlicht Formstack einen Festlandchina-Standort, sodass von chinesischen Nutzern erhobene Daten von vornherein im Ausland gespeichert werden. | Formstack — Data Privacy and Security for Forms (formstack.com/data-security), abgerufen 2026-10-07 |
| Formstack legt die Compliance-Pflicht auf Sie, nicht auf den Anbieter. In seinen eigenen Worten: „your organization owns the submission data and file upload data“, und „your organization is the Controller“. Nach chinesischem Recht ist die Partei, die Zweck und Mittel der Handhabung personenbezogener Informationen entscheidet, der Handelnde, der die Pflichten trägt — wenn also ein Festland-Einwohner ein Formstack-Formular einreicht, fallen die Grenztransfer-Pflichten nach PIPL (Hinweis, gesonderte Einwilligung und ein rechtmäßiger Transfermechanismus, Artikel 38–43) auf Sie als Controller, nicht auf den Formular-Builder. | Formstack — Data Privacy and Security for Forms (formstack.com/data-security), abgerufen 2026-10-07; PIPL Artikel 38–43 |
| Jede Einreichung eines Festland-Nutzers ist ein grenzüberschreitender Datentransfer. Weil die Daten auf US-basiertem AWS landen, verlassen die personenbezogenen Informationen, die ein chinesischer Nutzer in ein Formstack-Formular eingibt — Namen und Kontaktdaten und, auf HIPAA- oder PCI-bezogenen Formularen, Gesundheits- oder Zahlungsdaten — das Festland in dem Augenblick, in dem sie gespeichert werden. Das ist ein Grenztransfer personenbezogener Informationen nach PIPL, der Hinweis, gesonderte Einwilligung und eine von CAC-Sicherheitsbewertung, CAC-Standardvertrag oder Zertifizierung erfordert (Artikel 38–43); und für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen müssen in China erhobene personenbezogene Informationen im Festland gespeichert werden (PIPL Artikel 40; Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37)) — was eine reine US-Präsenz nicht erfüllen kann. | Formstack — Data Privacy and Security for Forms (formstack.com/data-security), abgerufen 2026-10-07; PIPL Artikel 38–43 & 40; Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37) |
| Eine Formstack-gehostete Formularseite wird aus dem Ausland bedient, sodass sie nicht ICP-registriert werden kann. Wenn Sie über eine Formstack-gehostete Formular-URL statt einer Einbettung auf Ihrer eigenen Website erheben, wird diese öffentliche Erhebungsseite von außerhalb des Festlands ausgeliefert — und eine Festland-Besuchern bediente öffentlich zugängliche Website benötigt eine ICP-Registrierung, die an inländisches Hosting gebunden ist (Staatsrats-Verordnung Nr. 292; MIIT-Verordnung Nr. 33), wofür eine Offshore-Seite keine Grundlage hat. Das Formular in Ihre eigene ICP-registrierte Website einzubetten verlagert die Hosting-Frage auf Ihre Website, aber die eingereichten Daten landen dennoch auf US-AWS. | Formstack — Data Privacy and Security for Forms (formstack.com/data-security), abgerufen 2026-10-07; Staatsrats-Verordnung Nr. 292; MIIT-Verordnung Nr. 33 |
Quellen vom 21YunBox Compliance-Team am 7. Oktober 2026 geprüft.
Für ein Festland-China-Publikum ist die eigentliche Frage zu Formstack nicht, ob das Formular lädt — das tut es meist — sondern, wo die Daten leben dürfen, die Menschen hineintippen. Formstack beantwortet das in seiner eigenen Sicherheitsdokumentation: Es speichert Einreichungen auf AWS in den Vereinigten Staaten und betreibt keine Region innerhalb von Festlandchina. Ein Formstack-Formular ist daher vom Festland aus erreichbar, doch jede Einreichung, die ein chinesischer Nutzer sendet, überschreitet die Grenze in dem Augenblick, in dem sie gespeichert wird — eine Übermittlung personenbezogener Informationen, die Chinas Recht regelt, wobei die rechtliche Pflicht, in Formstacks eigenen Worten, bei Ihnen liegt. Erreichbarkeit ist die leichte Hälfte; Residency und Einwilligung sind die Risikolage.
Formstack in China auf einen Blick
| Was entscheidet | In Formstacks eigenen Worten |
|---|---|
| Wo es läuft | Formstack „uses AWS in the United States as our external security hosting provider“, mit gespeicherten Daten, die „from US-East Region to US-West Region“ repliziert werden. Beides sind Regionen der Vereinigten Staaten; kein Standort liegt innerhalb von Festlandchina. |
| Wem die Daten gehören | „Your organization owns the submission data and file upload data“, und „your organization is the Controller“. Die Pflicht des Handelnden nach chinesischem Recht ist daher Ihre, nicht Formstacks. |
| Die Daten Ihrer China-Nutzer | Personenbezogene Informationen, die ein Festland-Nutzer einreicht, werden auf US-basiertem AWS gespeichert — ein Grenztransfer, den PIPL regelt, plus eine Datenlokalisierungspflicht für Betreiber kritischer Informationsinfrastruktur und Verarbeiter großer Mengen, die eine reine US-Präsenz nicht erfüllen kann. |
| Ein gehostetes Formular bedienen | Eine öffentliche Formstack-gehostete Formularseite wird aus dem Ausland ausgeliefert, sodass sie keine Grundlage für die ICP-Registrierung hat, die eine auf das Festland ausgerichtete öffentliche Website erfordert. Die Einbettung in Ihre eigene ICP-registrierte Website verlagert das Hosting auf Ihre Website; die Daten landen dennoch in den USA. |
| Befragungen von Einwohnern | Verwendet für Markt- oder Sozialbefragungen von Festland-Einwohnern durch eine ausländische Organisation, kann außerdem eine Genehmigung für auslandsbezogene Befragungen (涉外调查) gelten — eine beziehungsbasierte Regel, die mit Rechtsberatung zu prüfen ist. |
US-basierte Speicherung, keine Festland-Region
Formstacks Antwort auf „wo leben die Daten“ steht in seinen eigenen Sicherheitsseiten, und sie ist unmissverständlich: Formstack „uses AWS in the United States as our external security hosting provider“, und „all data stored on our AWS S3 is replicated consistent from US-East Region to US-West Region“. Beides sind Regionen der Vereinigten Staaten. Es gibt keinen Festlandchina-Standort irgendwo in Formstacks Präsenz, und nichts in seiner Dokumentation bietet einen an.
Diese Geografie klärt die schwierige Frage, bevor die Leistung ins Spiel kommt. Jeder Eintrag, den ein chinesischer Nutzer in ein Formstack-Formular tippt, wird im Ausland gespeichert, sobald er gespeichert wird, was nach Chinas Gesetz zum Schutz personenbezogener Informationen ein Grenztransfer personenbezogener Informationen ist. Der Handelnde muss einen Hinweis geben, eine gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung (Artikel 38–43). Sind Sie ein Betreiber kritischer Informationsinfrastruktur oder ein Verarbeiter großer Mengen, müssen in China erhobene personenbezogene Informationen im Festland gespeichert werden (PIPL Artikel 40; Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37)) — eine Residency-Pflicht, die eine reine US-Präsenz strukturell nicht erfüllen kann.
Sie sind der Verantwortliche — die Pflicht ist Ihre
Formstack ist sorgfältig darin, wer die Daten hält und wer die Pflichten trägt. In seinen eigenen Worten: „your organization owns the submission data and file upload data“, und „your organization is the Controller“. Diese Zeile zählt im China-Kontext mehr, als Formstacks DSGVO-Rahmung beabsichtigt: Nach chinesischem Recht ist die Partei, die entscheidet, warum und wie personenbezogene Informationen gehandhabt werden, der Handelnde, der die Pflichten trägt. Wenn also ein Festland-Einwohner Ihr Formstack-Formular ausfüllt, landen die PIPL-Hinweis-, Einwilligungs- und Transfermechanismus-Pflichten bei Ihnen — nicht beim Formularanbieter und nicht bei AWS. „Wir nutzen nur Formstack“ verschiebt diese Verantwortung nirgendwohin.
Menschen zu erreichen ist eine zweite Tür — und Befragungen könnten eine dritte sein
Wenn Sie über eine Formstack-gehostete Formular-URL statt einer Einbettung auf Ihrer eigenen Website erheben, wird die öffentliche Erhebungsseite von außerhalb des Festlands bedient, und eine Festland-Besuchern gezeigte öffentlich zugängliche Seite löst eine ICP-Registrierung (ICP 备案) aus, die an inländisches Hosting gebunden ist, nach Staatsrats-Verordnung Nr. 292 und MIIT-Verordnung Nr. 33 — wofür eine Offshore-Seite keine Grundlage hat. Das Formular in Ihre eigene ICP-registrierte Website einzubetten verlagert diese Hosting-Frage auf Ihre Website, aber die eingereichten Daten landen dennoch auf US-AWS, sodass die obige Residency-Risikolage nicht verschwindet. Und eine weitere Tür öffnet sich eng: Wenn Sie Formstack nutzen, um Markt- oder Sozialbefragungen von Festland-Einwohnern als ausländische Organisation durchzuführen, kann Chinas Genehmigung für auslandsbezogene Befragungen (涉外调查) gelten — ein beziehungsbasiertes Regime, das davon abhängt, wer die Ergebnisse beauftragt und erhält, nicht davon, wo die Server stehen, sodass es sich lohnt, es mit Rechtsberatung zu bestätigen, statt anzunehmen, es sei außerhalb des Blickfelds.
Dies ist eine Risikokarte, kein Urteil: Ob PIPLs Transferregeln, eine inländische Data-Residency-Pflicht, eine ICP-Registrierung oder eine Befragungsgenehmigung auf Sie zutreffen, hängt davon ab, was Sie erheben, wie viel davon und wer Ihre Nutzer sind — es lohnt sich, das mit Rechtsberatung zu klären, bevor Sie bauen.
Wo 21YunBox hineinpasst — ein Compliance-Overlay, keine Migration
Bauen Sie Ihre Formulare weiter in Formstack. Was wir hinzufügen, ist das Teil, das ein US-gehosteter Formularanbieter nicht allein bieten kann: compliant, ICP-registrierte Zustellung von innerhalb des Festlands, gesetzt vor Ihren bestehenden Origin — kein Rebuild, kein zweites Formular-Tool und kein Wechsel weg von Formstack. Unser China-Team kartiert Ihre PIPL-Grenztransfer- und Datenlokalisierungs-Pflichten gegen Ihre Rechtsperson und Datenmengen und stellt dann die inländische, ICP-registrierte Zustellung bereit, die eine rechtmäßige China-Präsenz braucht, sodass Ihre chinesischen Nutzer von innerhalb des Festlands bedient werden, statt vollständig ins Ausland zu greifen — während Ihre Formular-Logik genau dort bleibt, wo sie bereits läuft.
Compliance-Einschätzung anfordern →
Weiterführende Lektüre:
Häufige Fragen
Wo speichert Formstack aus China eingereichte Daten?
Auf AWS in den Vereinigten Staaten. Formstacks eigene Sicherheitsdokumentation sagt, es „uses AWS in the United States as our external security hosting provider“ und repliziere gespeicherte Daten nur „from US-East Region to US-West Region“ — beides US-Regionen. Es veröffentlicht keinen Festlandchina-Standort, sodass ein von einem chinesischen Nutzer eingereichtes Formular im Ausland gespeichert wird, was es zu einem Grenztransfer personenbezogener Informationen nach PIPL macht.
Ist es gesetzeswidrig, mit Formstack Daten von chinesischen Nutzern zu erheben?
Behandeln Sie es als ein mit Rechtsberatung zu bewertendes Risiko, kein glattes Ja oder Nein. Was aus der US-basierten Speicherung folgt, ist konkret: Die personenbezogenen Informationen eines Festland-Nutzers verlassen das Land, was PIPL als Grenztransfer regelt (Hinweis, gesonderte Einwilligung und ein Transfermechanismus), und in Formstacks eigenen Worten ist Ihre Organisation der „Controller“ — diese Pflicht ist also Ihre, nicht die des Anbieters. Ob außerdem eine Data-Residency-Pflicht gilt, hängt von Ihrer Rolle (etwa ein Betreiber kritischer Informationsinfrastruktur) und Ihren Datenmengen ab; und wenn Sie Markt- oder Sozialbefragungen von Festland-Einwohnern durchführen, kann eine Genehmigung für auslandsbezogene Befragungen im Blickfeld sein — alles wert, mit Rechtsberatung zu bestätigen.
Kann 21YunBox uns helfen, Formulardaten in China compliant zu erheben?
Ja. Unser China-Team kann Ihre PIPL-Grenztransfer- und Data-Residency-Risikolage für Ihre Rechtsperson, Datenmengen und Nutzer kartieren und die ICP-registrierte, inländische Zustellung bereitstellen, die eine compliant China-Präsenz erfordert, vor dem Stack, den Sie bereits betreiben — sodass Ihre chinesischen Nutzer von innerhalb des Festlands bedient werden, statt vollständig ins Ausland zu greifen, während Sie Formstacks Formular-Builder behalten. Melden Sie sich, um Ihren konkreten Fall durchzuarbeiten.
