Funktioniert M-Files in China? Data Residency, Lokalisierung & PIPL-Grenztransfer
M-Files ist eine metadatengetriebene Dokumentenmanagement-Plattform, die die tatsächlichen Dateien hält — Verträge, Fallakten, HR- und Regulierungs-Datensätze, oft sensibel oder privilegiert. M-Files Cloud läuft auf Microsoft Azure ohne Festlandchina-Region, diese Dokumente ruhen also offshore: ein PIPL-Grenztransfer. Ein Compliance-zuerst-Blick darauf, wo Ihre Datensätze ruhen dürfen.
Funktioniert M-Files in China?
Ob M-Files in China funktioniert, ist zuerst eine Data-Residency-Frage — wo Ihre Dokumente zur Ruhe kommen — keine Geschwindigkeits- oder Erreichbarkeitsfrage.
M-Files ist eine metadatengetriebene Dokumentenmanagement-Plattform, die die tatsächlichen Dateien hält — Verträge, Fallakten, HR- und Regulierungs-Datensätze, Vorstandsmaterialien — volltext-indiziert und versioniert, routinemäßig die personenbezogene Information von Menschen in China tragend und oft nach Artikel 28 sensibel oder rechtlich privilegiert. M-Files’ eigene Cloud-Vault-Seite sagt „M-Files Cloud is hosted in Microsoft Azure“ und geo-repliziert es über eine primäre und eine sekundäre Azure-Region, ohne Festlandchina-Region, diese Dokumente ruhen also offshore — ein PIPL-Grenztransfer, und für einen CIIO oder Handler mit hohem Volumen eine Datenlokalisierungs-Pflicht, die ein offshore gelegenes Repository nicht erfüllen kann. Der rechtmäßige Hebel ist M-Files’ eigenes robustes On-Premises- / selbst verwaltetes Produkt (oder ein lizenziertes Sovereign-Äquivalent), auf Festland-Infrastruktur betrieben, was die Datensätze im Inland hält.
Dies ist eine Risikokarte, kein Urteil — was zutrifft, hängt von Ihrer Rechtsperson, Ihren Datenmengen und davon ab, wessen Information die Dokumente halten. Unser China-Team kann Ihre Exponierung kartieren →
Compliance-Momentaufnahme
- ! Installiert und erreichbar im Festland — nicht die Frage; Dokument-Residency ist es
- ✕ Keine Festlandchina-Region: Dokumente und Metadaten ruhen auf M-Files’ Azure-Cloud
- ! Hält die Dateien selbst — Verträge, Fallakten, HR; oft Art 28/privilegiert
- ! Dokumente von Festland-Nutzern offshore = PIPL-Grenztransfer (Art 38–40)
- ! CIIO/hohes Volumen: inländische Speicherpflicht (PIPL 40; CSL Art 39, vormals 37)
- ✓ Rechtmäßiger Hebel: im Inland betreiben (On-Prem/Sovereign), von 21YunBox ICP-eingereicht ausgeliefert
Was die offizielle M-Files-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| M-Files Cloud wird auf Microsoft Azure gehostet, ohne Festlandchina-Region. M-Files’ eigene Cloud-Vault-Seite gibt an „M-Files Cloud is hosted in Microsoft Azure“, mit Daten „geo-replicated, and six copies of your data are always maintained“ über eine primäre und eine sekundäre Azure-Region. Das sind Microsofts kommerzielle Azure-Regionen; die Seite nennt keine Festlandchina-Region, Dokumente, Versionen und Metadaten kommen also offshore zur Ruhe. Azures Festlandchina-Regionen sind eine separate Cloud, betrieben von 21Vianet, auf der M-Files Cloud nicht gebaut ist. | M-Files — Cloud Vault hosting (retrieved October 2026) |
| M-Files liefert weiterhin ein robustes On-Premises- / selbst verwaltetes Produkt — der inländische Hebel. M-Files’ Deployment-Leitlinie sagt, On-Premises „is best suited for organizations that ... are required to use an on-premises solution deployed behind the organization’s own firewall for regulatory reasons“, und dass eine selbst verwaltete „Windows Server virtual machine running on a cloud platform such as Microsoft Azure, Amazon Web Services, or Google Cloud“ „self-managed in the same way as M-Files on-premises deployments“ ist. Betreiben Sie diesen Server auf Festland-Infrastruktur, bleibt der Vault im Inland. | M-Files User Guide — Deployment options (retrieved October 2026) |
| China-Dokumente auf einem offshore gelegenen Repository zu speichern ist ein PIPL-Grenztransfer. Verträge, Fallakten und Datensätze, die aus Menschen und Vorgängen in China gezogen werden, zusammen mit ihren Metadaten und Audit-Trails, auf einem offshore gelegenen M-Files-Cloud-Tenant gehalten, lösen PIPLs Grenztransfer-Regeln aus — Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus (PIPL Artikel 38–40). Der Handler am Haken ist das betreibende Unternehmen, nicht M-Files, der Auftragsverarbeiter. | PIPL Articles 38–40 |
| Ein CIIO oder Handler mit hohem Volumen schuldet eine inländische Speicherpflicht, die ein offshore gelegenes SaaS nicht erfüllen kann. Festland-personenbezogene-Information und important data müssen im Festland gespeichert werden (PIPL Artikel 40; Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37)) — die Cybersicherheitsgesetz-Novelle von 2025, in Kraft seit 1. Januar 2026, nummerierte den Datenlokalisierungs-Artikel von 37 auf 39 um, Substanz unverändert. Das Überschreiten einer Volumen- oder Sensibilitäts-Schwelle kann eine CAC-geführte Datenausfuhr-Sicherheitsbewertung verlangen. | PIPL Article 40; Cybersecurity Law Article 39 (formerly Article 37) |
Quellen vom 21YunBox Compliance-Team am 10. Oktober 2026 geprüft.
Für ein Team, das Festlandchina bedient, war die Frage zu M-Files nie, ob die Software sich installiert oder ob ihre Clients den Vault erreichen können. Das tun sie. M-Files ist eine metadatengetriebene Dokumentenmanagement-Plattform: statt Ordnern klassifiziert und findet es jedes Objekt — einen Vertrag, eine Fallakte, eine Rechnung, einen HR-Datensatz, ein Qualitäts- oder Regulierungs-Dokument — per Metadaten, und es hält die tatsächlichen Dateien, volltext-indiziert und versioniert, umhüllt von Berechtigungen, Workflows und Audit-Trails. Dieser Inhalt ist der Dreh- und Angelpunkt, weil er routinemäßig die personenbezogene Information von Menschen in China trägt, häufig nach Artikel 28 sensible personenbezogene Information — Gesundheit, Finanzen, Behörden-ID — und rechtlich privilegiertes oder vertrauliches Material. M-Files’ eigene Haltung ist ehrlich und spezifisch: M-Files Cloud ist ein vollständig managed Dienst, gehostet auf Microsoft Azure ohne Festlandchina-Region, während das Unternehmen weiterhin ein robustes On-Premises- / selbst verwaltetes Produkt ausliefert. Die eigentliche Frage ist also die wörtlichste Residency-Frage auf der Seite: wo dürfen Ihre Verträge und Datensätze zur Ruhe kommen?
M-Files in China auf einen Blick
| Was darüber entscheidet | In M-Files’ eigenen Worten — und Chinas Recht |
|---|---|
| Wo die Dokumente physisch ruhen | M-Files Cloud ist ein vollständig managed Dienst, der, in M-Files’ eigenen Worten, „is hosted in Microsoft Azure“. Daten werden „geo-replicated, and six copies of your data are always maintained“ — „three times within the primary region and three times within a secondary region“ — aber das sind M-Files’ kommerzielle Azure-Regionen (die USA, Europa, das UK, Australien und dergleichen). Es gibt keine Festlandchina-Region zum Provisionieren, die Dokumente, Versionen, Metadaten und Audit-Trails kommen also offshore zur Ruhe. Azures eigene Festlandchina-Regionen sind eine separate Cloud, betrieben von 21Vianet, auf der M-Files Cloud nicht gebaut ist. |
| Was es hält, und warum es personenbezogene Information ist | M-Files ist metadatengetrieben: jedes Objekt — Vertrag, Fallakte, Rechnung, HR-Datensatz, Qualitäts- oder Regulierungs-Dokument — wird per Metadaten klassifiziert und gefunden, und das Repository hält die tatsächlichen Dateien, volltext-indiziert und versioniert, mit Berechtigungen, Workflows und Audit-Trails. Dieser Inhalt trägt routinemäßig die personenbezogene Information von Menschen in China, häufig nach Artikel 28 sensible personenbezogene Information (Gesundheit, Finanzen, Behörden-ID) und rechtlich privilegiertes oder vertrauliches Material. Das ist die wörtlichste Residency-Frage, die es gibt. |
| Ihre Festland-Dokumente im Repository | Dokumente, Metadaten und Audit-Trails, die aus Menschen und Vorgängen in China gezogen und auf einem offshore gelegenen M-Files-Cloud-Tenant gespeichert werden, sind ein grenzüberschreitender Transfer, den PIPL regelt: Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus (PIPL Artikel 38–40). Der Handler am Haken sind Sie, der Betreiber — M-Files ist der Auftragsverarbeiter. |
| Inländische Speicherpflicht | Ein Betreiber kritischer Informationsinfrastruktur oder Handler mit hohem Volumen schuldet eine inländische Speicherpflicht, die ein offshore gelegenes SaaS nicht erfüllen kann — Festland-personenbezogene-Information und important data müssen im Festland bleiben (PIPL Artikel 40; Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37)) — die Cybersicherheitsgesetz-Novelle von 2025, in Kraft seit 1. Januar 2026, nummerierte den Datenlokalisierungs-Artikel von 37 auf 39 um, Substanz unverändert. |
| Ist es erreichbar? | Behandeln Sie Erreichbarkeit als die Auslieferungs-Hälfte, nicht die Frage — Clients und Web-Zugang verbinden sich problemlos. M-Files liefert weiterhin ein robustes On-Premises- / selbst verwaltetes Produkt aus und zählt eine selbst verwaltete Azure-, AWS- oder Google-Cloud-VM genauso wie On-Premises, Sie können den Vault also auf Festland-Infrastruktur betreiben und die Dokumente im Inland halten (der rechtmäßige Hebel). Jede China-gerichtete Oberfläche davor — der Web-Client, die Admin-Konsole, ein Self-Service-Portal — braucht eine ICP-Beian, an eine Festland-Hosting-Ressource gebunden. |
Wo die Dokumente tatsächlich ruhen
M-Files platziert keine Region innerhalb Festlandchinas. M-Files Cloud ist cloud-nativ auf Microsoft Azure — in der eigenen Cloud-Vault-Dokumentation des Unternehmens „M-Files Cloud is hosted in Microsoft Azure“, wo „six copies of your data are always maintained“, repliziert „three times within the primary region and three times within a secondary region“ hunderte Meilen entfernt. Das sind Microsofts kommerzielle Azure-Regionen — die Vereinigten Staaten, Europa, das Vereinigte Königreich, Australien und dergleichen — und diese Hosting-Dokumentation nennt keine Festlandchina-Region zum Provisionieren. Richten Sie einen Tenant auf irgendeine davon, und die Dokumente, die M-Files für Ihre China-Operationen hält, kommen außerhalb Chinas zur Ruhe.
Es ist wert, präzise zu sein, warum „es läuft auf Azure“ das nicht stillschweigend löst. Azures Festlandchina-Regionen sind eine separate Cloud, betrieben unter lokaler Lizenz von 21Vianet, auf der ein Anbieter bewusst bauen muss; M-Files Cloud ist nicht darauf gebaut. M-Files’ eigene Roadmap bestätigt das Muster: das Unternehmen hat eine FedRAMP-autorisierte Edition beschrieben, gehostet auf Azure Government für die US-Bundesnutzung, angepeilt für die Autorisierung 2027 — ein Beleg dafür, dass Sovereign-Azure-Partitionen separate Builds sind, die M-Files eine nach der anderen übernimmt, und eine Festlandchina-Partition hat es nicht übernommen.
Das eine Deployment, das alles auf Festland-Boden hält, ist das, das M-Files aus genau diesem Grund befürwortet. Seine Deployment-Leitlinie sagt, ein On-Premises-Deployment „is best suited for organizations that have already invested in IT infrastructure“ oder „are required to use an on-premises solution deployed behind the organization’s own firewall for regulatory reasons“, und fügt hinzu, dass Sie „can set up M-Files in a Windows Server virtual machine running on a cloud platform such as Microsoft Azure, Amazon Web Services, or Google Cloud“, die „are self-managed in the same way as M-Files on-premises deployments“. Betreiben Sie diesen selbst verwalteten Server auf Festland-Infrastruktur, bleibt der Vault — Dokumente und alles — im Festland. Dieses On-Premises-Produkt ist aktuell und robust, kein abgekündigter Nachgedanke.
Was es hält, ist personenbezogene Information — und oft privilegiert
M-Files verdient diese Prüfung wegen dessen, was das Repository hält. Das ist kein Tool, das eine Scheibe Daten berührt; es ist das System of Record für die Dateien selbst — die unterzeichneten Verträge, die Rechtsvorgänge (oft privilegiert), die HR-Akten, die Qualitäts- und Regulierungs-Dossiers, die Finanzdatensätze und die Vorstandsmaterialien — jedes per Metadaten klassifiziert, volltext-indiziert, versioniert und umgeben von den Zugriffskontroll-Listen und Audit-Trails, die aufzeichnen, wer was öffnete oder änderte. Jedes davon ist personenbezogene Information nach Chinas Gesetz zum Schutz personenbezogener Daten in dem Moment, in dem es eine Person identifiziert, und ein großer Teil davon ist nach Artikel 28 sensible personenbezogene Information — Gesundheits-, Finanz- und Behörden-ID-Felder — die eine höhere Latte von spezifischem Zweck, strikter Notwendigkeit und gesonderter Einwilligung trägt. Wo die Vorgänge rechtlich oder reguliert sind, heben die Vertraulichkeit und das Privileg des Inhalts die Einsätze erneut.
Was ein offshore gelegener M-Files-Cloud-Tenant also außerhalb Chinas konzentriert, ist kein beiläufiger Cache; es sind die sensibelsten Dokumente Ihrer Organisation und die Metadaten-Karte um sie herum. Für einen Betreiber kritischer Informationsinfrastruktur und für einen Handler, dessen Volumina die Schwellen der Aufsichtsbehörden überschreiten, müssen im Festland gesammelte personenbezogene Information und important data im Festland gespeichert werden (PIPL Artikel 40; Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37)). Ein offshore gelegenes Repository kann diese Pflicht strukturell nicht erfüllen — die Datensätze sind per Definition im falschen Land — und wo ein Export überhaupt erlaubt ist, kann das Überschreiten einer Volumen- oder Sensibilitäts-Schwelle eine CAC-geführte Datenausfuhr-Sicherheitsbewertung auslösen, bevor irgendetwas davon rechtmäßig geht.
Es auf einer Cloud ohne China-Region zu betreiben erfüllt die Residency-Pflicht nicht — und was es tut
Die ehrliche Zusammenfassung ist eng und wichtig: nichts an M-Files ist in China „gesperrt“, und die Exponierung ist nicht die Software. Die Exponierung ist ein SaaS-Deployment, das die Verträge, Fallakten und Datensätze Ihres Festlands — und die Metadaten und Audit-Trails um sie herum — außerhalb des Festlands parkt, auf einer Cloud ohne inländische Region zum Provisionieren.
Der rechtmäßige Hebel ist hier wirklich stark, weil M-Files ihn weiterhin anbietet: betreiben Sie den Vault im Inland. Sein On-Premises- / selbst verwaltetes Produkt, einschließlich eines selbst verwalteten Servers auf Festland-Cloud-Infrastruktur, hält die Dokumente auf Festland-Boden; wo das nicht die Passung ist, hält ein lizenziertes inländisches oder Sovereign-Cloud-Äquivalent das Repository im Inland, mit eingewilligter inländischer Speicherung für das, was bleiben muss. Einen Festland-Client zurück auf den offshore gelegenen M-Files-Cloud-Endpunkt zu richten ist keine Lokalisierung und erfüllt die Speicherpflicht nicht; das Repository im Inland aufzustellen tut es. Wo eine minimierte Teilmenge des Inhalts rechtmäßig die Grenze überschreiten darf, halten Sie diesen Transfer eingewilligt und durch einen Transfermechanismus gestützt, während jede China-gerichtete Oberfläche vor dem Vault — der Web-Client, die Admin-Konsole, das Self-Service-Portal, auf das Ihre Festland-Nutzer treffen — ihre eigene ICP-Beian verdient.
Dies ist eine Risikokarte, kein Urteil. Ob Sie inländische Speicherung, einen Transfermechanismus, eine gesonderte Einwilligung, eine Datenausfuhr-Sicherheitsbewertung, eine ICP-Beian oder eine Kombination schulden, hängt von Ihrer Rechtsperson, Ihren Datenmengen, wie viel von dem, was Ihre Dokumente halten, personenbezogen oder sensibel ist, und wessen Daten es sind ab — und es ist wert, die Besonderheiten mit Rechtsbeistand zu klären, bevor Sie entscheiden, wo ein einzelner Vertrag oder eine Fallakte lebt.
Der rechtmäßige Pfad — kartieren, lokalisieren, ausliefern
Sie müssen M-Files nicht fallen lassen, um es rechtmäßig für Festlandchina zu betreiben. 21YunBox ist eine rechtskonforme Overlay, keine Migration — und, für eine Plattform, die Sie bereits betreiben, ein Partner, der neben Ihrem Stack sitzt, kein Wettbewerber zu ihm. Es gibt drei Züge, und sie passen zusammen.
Kartieren. Unser China-Compliance-Team liest Ihre PIPL-Grenztransfer-, Data-Residency- und Datenlokalisierungs-(CII)-Pflichten gegen Ihre tatsächliche Rechtsperson, Ihre Datenmengen und wessen personenbezogene Information Ihr M-Files-Repository hält — die Verträge, die Fallakten, die HR- und Regulierungs-Datensätze, das sensible und privilegierte Material — sodass die Exponierung aufgeschrieben ist, bevor irgendetwas bewegt wird.
Lokalisieren. Weil das Risiko ist, wo diese Dokumente ruhen, halten wir das Repository im Inland — auf M-Files’ eigenem On-Premises- / selbst verwaltetem Produkt, auf Festland-Infrastruktur betrieben, oder einem lizenzierten inländischen oder Sovereign-Cloud-Äquivalent — sodass die Datensätze, die China auf Festland-Boden zu halten verlangt, es tun. Lokalisieren heißt eine rechtmäßige inländische Bereitstellung des Repositorys, niemals eine verborgene Route zurück zum offshore gelegenen Endpunkt; nur die minimierte, rechtmäßig transferierbare Teilmenge überschreitet je.
Ausliefern. Für jede China-gerichtete Oberfläche vor dem Vault — der Web-Client, die Admin-Konsole, das Self-Service-Portal, auf das Ihre Festland-Nutzer treffen — bietet der 21YunBox Optimizer ICP-eingereichte, inländische Auslieferung, vor dem Stack, den Sie bereits betreiben. Kein Neuaufbau, keine zweite Codebasis. 21YunBox nutzt oder empfiehlt niemals Umgehung jeglicher Art. Der ganze Sinn ist ein rechtmäßiger, eingereichter, inländischer Pfad.
Das Ziel ist einfach: Ihr M-Files-Deployment läuft legal und rechtskonform für Ihre Nutzer in China.
Compliance-Einschätzung anfordern →
Weiterführend:
- Grenzüberschreitende Datentransfers nach PIPL
- Chinas Cybersicherheitsgesetz und Datenlokalisierung (Artikel 39)
- Chinas Datenausfuhr-Sicherheitsbewertung
- So erhalten Sie eine ICP-Beian für China
Häufige Fragen
Ist M-Files in China gesperrt?
Nein — M-Files installiert sich und seine Clients und sein Web-Zugang erreichen den Vault aus dem Festland; Erreichbarkeit ist nicht das Problem. Die Compliance-Frage ist Residency: M-Files Cloud wird auf Microsoft Azure ohne Festlandchina-Region gehostet, Dokumente, Versionen und Metadaten kommen also offshore zur Ruhe, was ein PIPL-Grenztransfer ist, sobald sie die personenbezogene Information von Menschen in China halten.
Hat M-Files Cloud eine Festlandchina-Region oder Data-Residency-Option?
Keine Festlandchina-Region. M-Files Cloud läuft auf Microsoft Azures kommerziellen Regionen (den USA, Europa, dem UK, Australien und dergleichen) und nennt keine China-Region in seiner Hosting-Dokumentation; Azures Festlandchina-Regionen sind eine separate Cloud, betrieben von 21Vianet, auf der M-Files Cloud nicht gebaut ist. M-Files’ FedRAMP- / Azure-Government-Edition ist nur geplant (Autorisierung angepeilt 2027), was unterstreicht, dass Sovereign-Partitionen separate Builds sind, die es noch nicht anbietet.
Wie betreiben wir M-Files rechtskonform für Festlandchina-Nutzer?
Halten Sie die Datensätze im Inland. M-Files liefert weiterhin ein robustes On-Premises- / selbst verwaltetes Produkt und zählt eine selbst verwaltete Festland-Cloud-VM genauso wie On-Premises, Sie können den Vault also auf Festland-Infrastruktur (oder einem lizenzierten Sovereign-Äquivalent) betreiben und die Dokumente auf Festland-Boden halten. 21YunBox kartiert Ihre PIPL-, Data-Residency- und ICP-Exponierung, lokalisiert das Repository im Inland und liefert jeden China-gerichteten Client oder jedes Portal über ICP-eingereichte Infrastruktur aus — kein Neuaufbau, keine Migration. 21YunBox nutzt oder empfiehlt niemals Umgehung jeglicher Art.
