Funktioniert LogicGate Risk Cloud in China? GRC-Daten, PIPL & Data Residency

Für ein Team in Festlandchina ist die Frage zu LogicGate Risk Cloud nicht, ob das Dashboard sich öffnet — es lädt über das öffentliche Internet wie jedes SaaS. Die Frage ist, wo die Datensätze, die es hält, zur Ruhe kommen dürfen. Risk Cloud ist das System, das ein Unternehmen betreibt, um Risiko selbst zu governen: Enterprise- und operative Risiko-Register, Drittanbieter- und Vendor-Risk-Bewertungen, Kontroll-Bibliotheken und Audit-Nachweise, Regulierungs-Compliance-Mappings, Richtlinien und die Kontaktdaten der Kontroll-Verantwortlichen, Risiko-Verantwortlichen, Auditoren und Drittanbieter-Gegenparteien hinter jedem Workflow. All das ist personenbezogene Information, sobald es identifizierbare Menschen benennt, und einiges davon ist sensibel. LogicGate hostet es auf Amazon Web Services, und seine eigene Sub-Prozessor-Liste gibt den Ort als die Wahl eines Kunden zwischen USA, EU, UK oder Australien an — vier Offshore-Regionen, keine innerhalb Festlandchinas. Das ist eine Data-Residency- und Grenztransfer-Frage nach chinesischem Recht, keine Geschwindigkeitsfrage, und LogicGate beantwortet sie in seinen eigenen Dokumenten.

LogicGate Risk Cloud in China auf einen Blick

Keine Festland-Region, Ihre GRC-Datensätze verlassen also das Land

LogicGate ist ungewöhnlich klar darüber, wo Risk Cloud lebt. Seine Sub-Prozessor-Liste nennt Amazon Web Services als Hosting-Plattform und gibt den Datenort als Wahl eines Kunden zwischen „US, EU, UK, AU“ an, und sein Trust Center lädt Kunden ein, „Choose from these four data centers to host your Risk Cloud Data“, und beschreibt das als „greater control over data residency and compliance needs“. Diese Kontrolle ist real — und für die meisten Multinationalen ist sie eine echte Stärke. Sie ist auch genau die Fehlpassung für China: alle vier Regionen sind relativ zum Festland offshore, und LogicGate publiziert gar keine chinesische Region. Für einen Nutzer oder Mitarbeiter in China kommen die Risiko-, Audit- und Drittanbieter-Datensätze, die an ihn gebunden sind, also in den Vereinigten Staaten, Europa, dem Vereinigten Königreich oder Australien zur Ruhe — außerhalb des Landes.

Offshore verarbeitet, ist diese personenbezogene Information ein grenzüberschreitender Transfer, und die Pflicht landet auf dem personenbezogene-Information-Handler — Sie, der Kunde, nicht LogicGate. Sie schulden Mitteilung, eine gesonderte Einwilligung für den Übersee-Transfer und einen freigegebenen Mechanismus: eine CAC-Sicherheitsbewertung, der CAC-Standardvertrag oder eine Zertifizierung (PIPL Artikel 38–40). Oberhalb bestimmter Volumina, oder wo die Datensätze als important data zählen, kann die Bewegung zudem Chinas Datenausfuhr-Sicherheitsbewertung verlangen, bevor irgendetwas geht. Die AWS-Region zu wählen, die Ihrem Governance-Footprint am nächsten ist, ändert nichts davon; sie wählt nur, in welchem Offshore-Land die Daten sitzen.

Risiko-, Audit- und Drittanbieter-Datensätze sind personenbezogene Information — und einige sind sensibel

Der unbequeme Teil ist strukturell. Risk Cloud ist das Tool, das Sie einsetzen, um Compliance zu betreiben — und dabei sammelt es einen dichten Speicher personenbezogener Information an. Drittanbieter- und Vendor-Risk-Bewertungen tragen Gegenpartei-Kontakte und Unterzeichner-Details; Kontroll- und Audit-Workflows tragen die Namen der Kontroll-Verantwortlichen, Risiko-Verantwortlichen und Auditoren, die für jedes Element rechenschaftspflichtig sind; LogicGates eigenes „Automated Evidence Monitoring“ zieht die Artefakte hinter einer Attestierung herein. Nach PIPL sind diese Namen, Rollen, E-Mail-Adressen und Online-Identifikatoren personenbezogene Information in dem Moment, in dem sie eine identifizierbare Person beschreiben — und sie in eine Offshore-Region zu exportieren ist der Transfer, den der vorige Abschnitt beschreibt.

Einiges davon geht weiter. Wo ein Kunde Risk Cloud nutzt, um Vorfälle, Untersuchungen, Datensubjekt- oder Datenschutz-Anfragen oder Bewertungen zu verfolgen, die identifizierbare Einzelpersonen benennen oder Finanz- oder Identitätsdaten halten, können diese Datensätze sensible personenbezogene Information nach PIPL Artikel 28 sein — der einen spezifischen Zweck, strikte Notwendigkeit, eine verschärfte gesonderte Einwilligung und eine Folgenabschätzung zum Schutz personenbezogener Information vor der Verarbeitung verlangt. LogicGates Opt-in-generative-KI-Features fügen einen weiteren Offshore-Fluss hinzu: seine Sub-Prozessor-Liste platziert OpenAI, L.L.C. in den Vereinigten Staaten für „data analysis, automated reporting, insights generation, and personalized recommendations“, diese einzuschalten routet GRC-Inhalt also zu einem weiteren US-Empfänger. Und bei einem Betreiber kritischer Informationsinfrastruktur — in Finanzen, Energie, Telekommunikation oder ähnlich — können einige Risiko- und Kontroll-Datensätze selbst kritische Systeme beschreiben. Die Ironie ist offensichtlich: die Plattform, die Sie kauften, um Compliance zu governen, wird zu einer PIPL-Exponierung für sich.

Die Exponierung zu verengen schließt die Tür nicht

Es gibt Hebel, die reduzieren, was überschreitet. Sie können das EU-, UK- oder AU-Rechenzentrum wählen, das Ihrem Governance-Footprint am nächsten ist, Felder minimieren und schwärzen, identifizierbare Daten auf eine Teilmenge von Anwendungen beschränken und die Opt-in-KI- und -Analytics-Sub-Prozessoren abschalten, sodass weniger Empfänger die Daten berühren. Jedes davon ist wert, getan zu werden, und jedes schrumpft die Nutzlast und die Zahl der Hände, durch die sie geht.

Aber sie ändern, was überschreitet, nicht dass es überschreitet. Keine von LogicGates vier AWS-Regionen ist in Festlandchina, die Datensätze eines chinesischen Nutzers verlassen also weiterhin das Land, und die Residency-Pflicht ist unberührt: für einen CII-Betreiber oder Handler mit hohem Volumen muss in China gesammelte personenbezogene Information im Festland gespeichert werden nach PIPL Artikel 40 und Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37) — die Datenlokalisierungs-Bestimmung; die Cybersicherheitsgesetz-Novelle von 2025, in Kraft seit 1. Januar 2026, nummerierte sie von 37 auf 39 um, ihre Substanz unverändert. Erreichbarkeit ist eine separate Angelegenheit, und für eine China-gerichtete Oberfläche greift sie unabhängig: wenn Sie ein Risk-Cloud-Dashboard, ein Attestierungs-Portal oder ein Drittanbieter-Intake-Formular Nutzern innerhalb des Festlands aussetzen, ist diese Oberfläche ein öffentlicher Dienst, der eine ICP-Beian-Pflicht trägt (ICP 备案, nach Staatsrat-Erlass Nr. 292 und MIIT-Erlass Nr. 33), an eine Festland-Hosting-Ressource gebunden, die LogicGate nicht anbietet. Ob die Seite schnell lädt, ist nicht die Frage, und wir publizieren hier keine eigene China-Latenzzahl, weil Geschwindigkeit nicht die Achse ist, um die sich das dreht. Dies ist eine Risikokarte, kein Urteil: ob Sie eine gesonderte Einwilligung, einen Transfermechanismus, inländische Speicherung, eine Datenausfuhr-Bewertung, eine ICP-Beian oder eine Kombination schulden, hängt von Ihrer Rechtsperson, Ihren Datenmengen und davon ab, wer Ihre Nutzer sind — klären Sie die Besonderheiten mit Rechtsbeistand, bevor Sie sich darauf verlassen.

Der rechtmäßige Pfad — kartieren, lokalisieren, ausliefern

Es gibt einen rechtskonformen Weg, eine GRC-Plattform für ein China-gerichtetes Publikum zu betreiben, und er hat eine definierte Form. Erstens kartieren: unser China-Team arbeitet durch die PIPL-Grenztransfer-, sensible-PI- und Residency-Pflichten, die an die Risiko-, Audit-, Drittanbieter- und Verantwortlichen-Datensätze binden, die Risk Cloud hält — gegen Ihre Rechtsperson, Ihre Datenmengen und wer Ihre Nutzer sind — und markiert, wo eine gesonderte Grenztransfer-Einwilligung, eine Datenausfuhr-Bewertung, eine Artikel-28-Folgenabschätzung oder eine Artikel-39-Speicherpflicht gilt. Die rechtlichen Entscheidungen werden mit Rechtsbeistand getroffen; wir bauen das technische Bild, auf dem diese Entscheidungen ruhen.

Dann lokalisieren: für die Datensätze, die im Land bleiben müssen, stellen wir eingewilligte, inländische Verarbeitung und Speicherung auf und integrieren sie — das rechtmäßige Muster der Festland-Speicherung mit gesonderter Einwilligung, erfasst so, wie Chinas Regime es erwartet — sodass, was nicht rechtmäßig gehen darf, es nicht mehr tut, während Sie Risk Cloud für die Märkte behalten, in denen es Ihnen bereits dient.

Dann ausliefern: jede China-gerichtete Oberfläche — das Dashboard, Attestierungs-Portal oder Intake-Formular, auf das Ihre Festland-Nutzer treffen — ist ein öffentlicher Dienst im Festland, sie trägt also eine ICP-Beian-Pflicht und braucht rechtskonforme, inländische Auslieferung. 21YunBox liefert sie aus dem Festland heraus über ICP-eingereichte, inländische Infrastruktur aus — den 21YunBox Optimizer — vor den Stack gesetzt, den Sie bereits betreiben, ohne Neuaufbau und ohne zweite Codebasis. 21YunBox ist eine rechtskonforme Overlay, keine Migration, und ein Partner zu LogicGate, kein Wettbewerber. Eine Sache, die 21YunBox nie tut und die kein rechtmäßiger Anbieter anbieten kann, ist, um Chinas Datenausfuhr-Regeln oder irgendeine Netzwerkbeschränkung herumzurouten: 21YunBox nutzt oder empfiehlt niemals Umgehung jeglicher Art. Das Ergebnis ist ein GRC-Setup, das legal und rechtskonform für Ihre Nutzer in China läuft.

Compliance-Einschätzung anfordern →

Weiterführend:

• Grenzüberschreitende Datentransfers nach PIPL
• Chinas Datenausfuhr-Sicherheitsbewertung
• Chinas Cybersicherheitsgesetz (Datenlokalisierung, Artikel 39)
• So erhalten Sie eine ICP-Beian für China

Verwandte Technologien

AuditBoard (now Optro)

AuditBoard (now Optro)

Diligent

Diligent

Icertis

Icertis

Ironclad

Ironclad

NAVEX

NAVEX

Archer

Archer