Funktioniert Ivalua in China? PIPL-Grenztransfer, Data Residency & Important-Data-Regeln
Ivalua ist eine Source-to-Pay-Beschaffungsplattform, betrieben als verwaltetes Multi-Instanz-SaaS ohne Festlandchina-Region, die Lieferanten-Stammdaten, Lieferanten- und Einkäuferkontakte, Verträge und Ausgabendaten Ihrer China-Operation sitzen also offshore — ein PIPL-Grenztransfer — während konsolidierte Sourcing- und Liefernetzwerkdaten „important data“ sein können, die vor dem Verlassen eine CAC-Datenausfuhr-Sicherheitsbewertung verlangen. Ein Compliance-zuerst-Blick auf die Residency-, Important-Data- und Grenztransfer-Exponierung und den rechtmäßigen inländischen Pfad.
Funktioniert Ivalua in China?
Ivalua für eine China-Operation zu betreiben, ist eine Data-Residency-Frage, keine Geschwindigkeitsfrage: seine Lieferanten-Stammdaten, Kontakte, Verträge und Ausgaben sitzen auf einer offshore gelegenen Cloud ohne Festlandchina-Region — ein PIPL-Grenztransfer — und konsolidierte Sourcing- und Liefernetzwerkdaten können „important data“ (重要数据) sein, die vor dem Verlassen eine CAC-Datenausfuhr-Sicherheitsbewertung brauchen.
Ivalua ist ein verwaltetes Multi-Instanz-Source-to-Pay-SaaS, das Ihre Lieferanten- und Anbieter-Stammdaten, die personenbezogene Information von Lieferanten- und Einkäuferkontakten, Ihre Verträge und Ihre Ausgaben- und Sourcing-Daten hält — gespeichert in seinen offshore gelegenen Regionen (den USA, Europa und Asien-Pazifik), keine in Festlandchina. Die Aufzeichnungen einer China-Operation dort zu halten, ist ein PIPL-Grenztransfer personenbezogener Information, und die strategischen Lieferkettendaten selbst können eine obligatorische CAC-Datenausfuhr-Sicherheitsbewertung auslösen, unabhängig von jeder personenbezogenen Information. Der rechtmäßige Hebel ist, die Lieferanten- und Lieferkettendaten im Inland zu halten — einen dedizierten, inländischen Datenpfad, Datenklassifizierung und -minimierung — jede important data zu handhaben und jede China-gerichtete Lieferanten-Oberfläche ICP-beian-pflichtig zu machen, nicht, die offshore gelegene Plattform erreichbar zu machen.
Ob Ihre Lieferkettendaten „important data“ sind, hängt von Ihrem Sektor und den anwendbaren Katalogen ab — eine mit Rechtsbeistand zu klärende Risikokarte, kein Urteil. Unser China-Team kann Ihre Exponierung kartieren →
Compliance-Momentaufnahme
- ! Aus China über den Browser erreichbar — aber Erreichbarkeit ist nicht die Frage
- ! Lieferanten-Stammdaten, Kontakte, Verträge und Ausgaben sitzen in einer offshore gelegenen Region
- ! Grenzüberschreitender Transfer von Lieferanten-personenbezogener-Information — PIPL Artikel 38–40 gelten
- ! Sourcing- und Liefernetzwerkdaten können „important data“ sein — zuerst eine CAC-Bewertung
- ✕ Ivaluas Cloud hat keine Festlandchina-Region; Lieferanten- und Lieferkettendaten sitzen offshore
- ✓ Rechtskonformer Pfad: Daten im Inland halten, important data handhaben, China-Oberflächen ICP-beian-pflichtig machen
Was die offizielle Ivalua-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| Ivalua läuft als verwaltetes Multi-Instanz-SaaS ohne Festlandchina-Region. Ivaluas eigene Technologieseite beschreibt eine „multi-instance SaaS architecture“ mit AES-256-Verschlüsselung und ISO-27001-, SOC-2- und TISAX-Zertifizierungen; ihr Hosting-Fußabdruck umspannt die Vereinigten Staaten, Europa und Asien-Pazifik (einschließlich einer IRAP-bewerteten Umgebung in Australien, angekündigt Dezember 2025) — keine in Festlandchina. Die Lieferanten-Stammdaten und Kontakte einer China-Operation werden also offshore gehalten. | Ivalua — Technology (platform & security), abgerufen 2026-10-11 |
| Ivalua transferiert personenbezogene Daten nach eigener Darstellung über Grenzen. Seine Datenschutzrichtlinie gibt an, dass „Ivalua operates at a global scale and may transfer Personal Data to (or access Personal Data from) countries outside“ dem EWR, dem Vereinigten Königreich oder der Schweiz, gestützt auf Standardvertragsklauseln, und dass seine Website „provided and hosted in the United States“ ist. Für eine China-Rechtsperson sind die Lieferanten- und Einkäuferkontakte, die es hält, personenbezogene Information, die offshore zieht. | Ivalua — Privacy Policy, abgerufen 2026-10-11 |
| Lieferkettendaten können „important data“ sein, die vor dem Verlassen eine CAC-Bewertung brauchen. Über den PIPL-Artikel-38–40-Grenztransfer hinaus, den Lieferanten-personenbezogene-Information auslöst, können konsolidierte Sourcing-, Ausgaben- und Lieferantennetzwerkdaten als „important data“ (重要数据) nach dem Datensicherheitsgesetz in strategischen Sektoren klassifiziert werden — und important data ins Ausland zu transferieren, verlangt eine obligatorische CAC-Datenausfuhr-Sicherheitsbewertung (数据出境), bevor irgendetwas geht, unabhängig davon, ob personenbezogene Information beteiligt ist. | 21YunBox — China data-export security assessment (CAC); cross-border data transfers under PIPL, abgerufen 2026-10-11 |
| Ein CIIO oder Handler mit hohem Volumen schuldet eine inländische Speicherpflicht. In China erhobene personenbezogene Information muss für einen Betreiber kritischer Informationsinfrastruktur oder Handler mit hohem Volumen in China gespeichert werden — Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37), umnummeriert durch die Novelle von 2025, in Kraft seit 1. Januar 2026, mit unveränderter Substanz, gelesen mit PIPL Artikel 40. Eine offshore gelegene Ivalua-Region kann sie nicht erfüllen; zwischen offshore gelegenen Regionen zu wechseln, verlagert den Transfer nur. | 21YunBox — China's Cybersecurity Law (data localization, Article 39), abgerufen 2026-10-11 |
Quellen vom 21YunBox Compliance-Team am 11. Oktober 2026 geprüft.
Für ein Unternehmen, das Ivalua in Festlandchina betreibt, ist der Instinkt, zu fragen, ob das Beschaffungsteam es aus Schanghai öffnen kann — und das kann es; es ist browserbasierte Source-to-Pay-Software, nicht an der Grenze gesperrt. Erreichbarkeit ist also nicht die China-Entscheidung. Was sie entscheidet, ist Residency: wo die Lieferanten-Stammdaten, die Lieferanten- und Einkäuferkontakte und die Vertrags-, Ausgaben- und Sourcing-Daten, die Ihre China-Operation einträgt, zur Ruhe kommen — und ob etwas davon „important data“ ist, die das Land nicht rechtmäßig verlassen kann. Ivalua ist eine Source-to-Pay-Plattform — Sourcing, Lieferantenmanagement, Verträge, Procure-to-Pay und Ausgabenanalyse — betrieben als verwaltetes Multi-Instanz-SaaS über offshore gelegene Regionen, ohne Festlandchina-Region, diese Daten sitzen also im Ausland. Das öffnet mehrere Türen zugleich: einen PIPL-Grenztransfer von Lieferanten-personenbezogener-Information (Artikel 38–40); die „important data“ (重要数据)-Frage des Datensicherheitsgesetzes, die eine CAC-Datenausfuhr-Sicherheitsbewertung erzwingen kann, bevor die Lieferkettendaten gehen; eine inländische Speicherpflicht für einen Betreiber kritischer Informationsinfrastruktur oder Handler mit hohem Volumen; und eine ICP-Beian für jede China-gerichtete Lieferanten-Oberfläche.
Ivalua in China auf einen Blick
| Was darüber entscheidet | In Ivaluas eigenen Worten — und Chinas Recht |
|---|---|
| Was es hält | Ivalua ist ein System-of-Record für die Beschaffung. Für eine China-Rechtsperson heißt das Lieferanten- und Anbieter-Stammdaten; die Namen, E-Mails und Telefonnummern von Lieferanten- und Einkäuferkontakten und Genehmigenden (personenbezogene Information); unterzeichnete Verträge; und Ausgaben-, Sourcing- und Lieferantennetzwerkdaten — die kommerzielle Karte, von wem Sie kaufen und zu welchen Bedingungen. |
| Wo es läuft | Offshore. Ivalua läuft als verwaltete „multi-instance SaaS architecture“ über seine globalen Regionen — die Vereinigten Staaten, Europa und Asien-Pazifik — ohne Festlandchina-Region. Die Lieferantendatensätze und Kontakte, die Ihre China-Operation einträgt, ruhen also außerhalb des Festlands, und sie dort zu laden, ist ein grenzüberschreitender Transfer (数据出境) personenbezogener Information nach PIPL (Artikel 38–40). |
| Die Important-Data-Tür | Die besondere Hälfte. Konsolidierte Sourcing-, Ausgaben- und Lieferantennetzwerkdaten können als „important data“ (重要数据) nach dem Datensicherheitsgesetz klassifiziert werden — besonders in strategischen Sektoren wie Fertigung, Automobil, Pharma, Energie, Lebensmittel und Logistik. Important data ins Ausland zu transferieren, verlangt eine obligatorische CAC-Datenausfuhr-Sicherheitsbewertung, bevor irgendetwas geht, unabhängig davon, ob personenbezogene Information beteiligt ist. |
| Lieferanten-PII & Residency | Lieferanten-, Einkäufer- und Mitarbeiterkontakte sind personenbezogene Information: PIPL Artikel 13 und 23 verlangen eine Rechtsgrundlage und eine gesonderte Einwilligung für den Auslandstransfer. Für einen Betreiber kritischer Informationsinfrastruktur oder Handler mit hohem Volumen setzt Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37 — der Datenlokalisierungsartikel wurde durch die Novelle des Cybersicherheitsgesetzes von 2025, in Kraft seit 1. Januar 2026, von 37 auf 39 umnummeriert, Substanz unverändert) eine inländische Speicherpflicht, die eine offshore gelegene Region nicht erfüllen kann. |
| Erreichbarkeit ist nicht die Achse | Ivalua öffnet aus dem Festland über den Browser; der grenzüberschreitende Zugriff auf eine offshore gelegene Instanz kann inkonsistent sein, aber das ist betrieblich, nicht die Entscheidung. Weil Ivalua als Multi-Instanz-SaaS läuft und für Bereitstellungsflexibilität gebaut ist, ist ein dedizierter, inländischer Datenpfad erreichbarer als bei einer reinen Multi-Mandanten-Cloud — der Hebel ist, die China-Lieferanten- und -Lieferkettendaten im Inland zu halten, jede important data zu klassifizieren und zu handhaben und jede China-gerichtete Lieferanten-Oberfläche ICP-beian-pflichtig zu machen. |
Was Sie tatsächlich halten — Lieferantendaten, Ausgaben und die Lieferkette
Ivalua hält keine Abstraktion; es hält die laufende Aufzeichnung dessen, wie Sie einkaufen. Als einheitliche Source-to-Pay-Plattform trägt es Sourcing-Events und Angebote, Lieferantenmanagement und -Onboarding, Verträge, Procure-to-Pay-Transaktionen und Ausgabenanalyse — und unter all dem einen Lieferanten- und Anbieter-Stammsatz, der das Rückgrat des Systems ist. Für eine China-Operation ist dieser Stammsatz dicht mit personenbezogener Information: die Namen, Arbeits-E-Mails, Telefonnummern und Bankdaten von Lieferantenkontakten, Einkäufern und Genehmigenden, jeder einzelne eine betroffene Person, deren Information das chinesische Recht schützt.
Um diese PII herum sitzt die kommerzielle Aufzeichnung — was Sie beschaffen, von wem, zu welchen Bedingungen, zu welchem Preis und in welchen Mengen. Aggregiert über eine Kategorie oder eine Region ist diese Sourcing-, Ausgaben- und Lieferantennetzwerkdaten nicht nur vertragliche Buchführung: sie ist eine Karte Ihrer Lieferkette. Ivaluas eigene Technologieseite beschreibt die Plattform als „multi-instance SaaS architecture“ mit AES-256-Verschlüsselung und Zertifizierungen einschließlich ISO 27001, SOC 2 und TISAX; ihr veröffentlichter Hosting-Fußabdruck umspannt die Vereinigten Staaten, Europa und Asien-Pazifik — einschließlich einer IRAP-bewerteten Umgebung in Australien, angekündigt im Dezember 2025 — ohne Region in Festlandchina. Ein Multi-Instanz-Modell (jeder Kunde eine dedizierte Instanz) und Ivaluas anerkannte Bereitstellungsflexibilität machen einen dedizierten, inländischen Datenpfad machbarer, als eine reine Multi-Mandanten-Cloud es täte — aber out of the box landen die Lieferanten- und Lieferkettendaten einer China-Rechtsperson in einer dieser offshore gelegenen Regionen.
Die Türen: grenzüberschreitende personenbezogene Daten, important data und inländische Speicherung
Sobald die Daten offshore sind, entscheidet ein anderer Rechtskörper, ob sie dorthin durften — und für eine Beschaffungsplattform öffnet sich mehr als eine Tür zugleich.
Grenzüberschreitender Transfer. Die Lieferanten-, Einkäufer- und Mitarbeiterkontakte in Ivalua sind personenbezogene Information, und sie in eine Region außerhalb des Festlands zu laden, ist ein grenzüberschreitender Transfer (数据出境) nach Chinas Gesetz zum Schutz personenbezogener Daten. PIPL legt die Pflicht auf den Handler — Ihre China-Rechtsperson, nicht Ivalua den Auftragsverarbeiter: Artikel 38–40 verlangen Mitteilung, eine gesonderte Einwilligung für den Auslandstransfer und einen Transfermechanismus (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder Zertifizierung), mit der Einwilligung nach Artikel 13/23 darunter.
Important data — die besondere Hälfte. Die Exponierung ist nicht nur PII. Konsolidierte Sourcing-, Ausgaben- und Lieferantennetzwerkdaten können als „important data“ (重要数据) nach dem Datensicherheitsgesetz und den nationalen und sektoralen Important-Data-Katalogen klassifiziert werden, besonders in strategischen Sektoren. Wo sie es sind, verlangt sie ins Ausland zu transferieren eine obligatorische CAC-Datenausfuhr-Sicherheitsbewertung bevor irgendetwas geht — unabhängig davon, ob personenbezogene Information beteiligt ist, und unabhängig vom Volumen. Für eine lieferkettenlastige Beschaffungsplattform ist das das Risiko, das Wettbewerber verpassen: die strategische Natur der Daten selbst, nicht nur die Namen, die daran hängen.
Inländische Speicherung. Wenn Ihre Organisation ein Betreiber kritischer Informationsinfrastruktur ist — oder personenbezogene Information in den Volumina bewegt, die eine große Beschaffungsplattform routinemäßig erreicht — muss in China generierte personenbezogene Information in China gespeichert werden. Diese Pflicht ruht auf PIPL Artikel 40 und auf Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37). Eine offshore gelegene Ivalua-Region kann sie nicht erfüllen, und zwischen offshore gelegenen Regionen zu wechseln, verlagert den Transfer nur; es beendet ihn nicht.
Sich einzuloggen ist nicht die Frage — eine rechtskonforme inländische Lieferkette ist es
Beachten Sie, was nicht auf dieser Liste steht: wie schnell Ivalua aus Schanghai lädt oder wie man eine glattere Verbindung zu einer offshore gelegenen Instanz erzwingt. Das sind betriebliche Fragen, und ihnen nachzujagen, verfehlt die Entscheidung. Die Entscheidung ist, ob die Lieferanten-personenbezogene-Information und Lieferkettendaten Ihrer China-Operation dort sitzen dürfen, wo Ivalua sie hält — und wie man sie irgendwohin bringt, wo sie sein dürfen.
Für eine Cloud-Plattform ohne Festlandchina-Region ist der rechtmäßige Zug nicht, die offshore gelegene Instanz erreichbar zu machen — es ist, die China-Lieferanten- und -Lieferkettendaten auf einem inländischen Fundament zu halten. Wo Ivaluas Multi-Instanz-Modell und Bereitstellungsflexibilität eine dedizierte oder inländische Bereitstellung erlauben, ist das die starke Form der Lösung: die regulierten Daten bleiben im Festland. Wo sie es nicht können, behalten Sie Ivalua als Ihr globales Source-to-Pay-System und lokalisieren die regulierten Daten der China-Rechtsperson auf einen China-ansässigen Pfad, klassifizieren und handhaben jede important data, senden offshore nur, was rechtmäßig gehen darf, minimieren die Lieferanten- und Mitarbeiter-PII und tragen die Einwilligung nach Artikel 13/23. Jede China-gerichtete Oberfläche, die Ivalua antreibt — ein Lieferantenportal, eine SRM-Self-Service-Seite — ist ein öffentlicher Dienst im Festland und trägt eine ICP-Beian-Pflicht, rechtskonform und im Inland ausgeliefert.
Nichts davon ist ein Urteil, dass Ivalua „gesperrt“ oder „illegal“ ist. Es ist eine Risikokarte: ob Ihre Lieferkettendaten „important data“ sind, hängt von Ihrem Sektor und den anwendbaren Katalogen ab, und ob Sie eine gesonderte Einwilligung, einen Transfermechanismus, inländische Speicherung, eine Datenausfuhr-Bewertung, eine ICP-Beian oder eine Kombination schulden, hängt von Ihrer Rechtsperson, Ihren Datenmengen und Ihrer Rolle nach chinesischem Recht ab — Einzelheiten, die mit Rechtsbeistand zu klären sind, bevor Ihre China-Operation von ihnen abhängt.
Der rechtmäßige Pfad — kartieren, lokalisieren, ausliefern
Es gibt einen rechtskonformen Weg, Beschaffung für eine China-Operation zu betreiben, und er hat eine Gestalt.
Zuerst, kartieren: unser China-Team inventarisiert, was Ihre Ivalua-Instanz für die China-Rechtsperson hält — die Lieferanten- und Anbieter-PII, die Verträge und Ausgaben und die Sourcing- und Lieferantennetzwerkdaten — wo jedes verarbeitet und gespeichert wird (eine offshore gelegene Region, da Ivalua keine Festlandchina-Region hat), ob etwas davon „important data“ (重要数据) ist, die Bereitstellungsoptionen und die Einwilligungs-, Residency- und Bewertungsgrundlage, die jedes braucht. Die rechtlichen Schlüsse werden mit Rechtsbeistand geklärt; wir bauen das technische Bild, das sie speist.
Dann lokalisieren: wir helfen Ihnen, die China-Lieferanten- und -Lieferkettendaten im Inland zu halten — eine dedizierte oder inländische Bereitstellung, wo Ivaluas Multi-Instanz-Modell es erlaubt, oder sonst einen inländischen Datenpfad — klassifizieren die Daten und handhaben jede Important-Data- und Datenausfuhr-Bewertungspflicht und minimieren und schützen die Lieferanten- und Mitarbeiter-PII mit der Einwilligung nach Artikel 13/23 vorhanden. Lokalisieren heißt, die Daten auf einem inländischen Pfad zu halten — niemals sie heimlich offshore zu bewegen.
Dann ausliefern: die China-gerichteten Oberflächen, die die Plattform antreibt — ein Lieferantenportal, eine SRM-Self-Service-Seite — tragen eine ICP-Beian (备案)-Pflicht und brauchen rechtskonforme, inländische Auslieferung. 21YunBox liefert sie im Inland aus — den 21YunBox Optimizer — vor dem, was Sie bereits betreiben, ohne Neuaufbau und ohne Re-Platforming, sodass der Dienst legal und rechtskonform für Ihre Nutzer in China läuft. 21YunBox nutzt oder empfiehlt niemals Umgehung jeglicher Art.
Compliance-Einschätzung anfordern →
Weiterführend:
- Grenzüberschreitende Datentransfers nach PIPL
- Chinas Datenausfuhr-Sicherheitsbewertung (CAC)
- Chinas Cybersicherheitsgesetz (Datenlokalisierung, Artikel 39)
- So erhalten Sie eine ICP-Beian für China
Häufige Fragen
Speichert Ivalua die Daten chinesischer Lieferanten in China?
Nein. Ivalua läuft als verwaltetes Multi-Instanz-SaaS, gehostet in seinen offshore gelegenen Regionen — den USA, Europa und Asien-Pazifik — ohne Festlandchina-Region. Die Lieferanten-Stammdaten, Lieferanten- und Einkäuferkontakte, Verträge und Ausgabendaten, die Ihre China-Operation einträgt, werden also offshore gespeichert, weshalb die eigentliche Frage rechtliche Residency ist, nicht ob die App lädt.
Sind Ivaluas Lieferkettendaten „important data“ nach chinesischem Recht?
Das können sie sein. Konsolidierte Sourcing-, Ausgaben- und Lieferantennetzwerkdaten können als „important data“ (重要数据) nach dem Datensicherheitsgesetz klassifiziert werden, besonders in strategischen Sektoren wie Fertigung, Automobil, Pharma, Energie, Lebensmittel und Logistik. Wo sie es sind, verlangt sie ins Ausland zu transferieren eine obligatorische CAC-Datenausfuhr-Sicherheitsbewertung, bevor irgendetwas geht — unabhängig davon, ob personenbezogene Information beteiligt ist. Ob Ihre Daten qualifizieren, hängt von Ihrem Sektor und den anwendbaren Katalogen ab, behandeln Sie es also als ein mit Rechtsbeistand einzuschätzendes Risiko.
Kann 21YunBox helfen, Ivalua in China rechtskonform zu betreiben?
Ja. Unser China-Team kartiert, was Ihre Ivalua-Instanz für die China-Rechtsperson hält und wo es gespeichert wird, hilft Ihnen, die China-Lieferanten- und -Lieferkettendaten auf einem inländischen Pfad zu halten — eine dedizierte, inländische Bereitstellung, wo verfügbar, mit Datenklassifizierung und -minimierung — jede Important-Data- und Grenztransfer-Pflicht rechtmäßig zu handhaben und die ICP-beian-pflichtige, inländische Auslieferung aufzustellen, die jede China-gerichtete Lieferanten-Oberfläche braucht, vor dem Stack, den Sie bereits betreiben. Kontaktieren Sie uns, um Ihren konkreten Fall durchzuarbeiten.
