Funktioniert Medallia in China? PIPL, Data Residency & wo Umfragedaten leben
Medallia betreibt keine Region innerhalb Festlandchinas — es verarbeitet Umfrage- und Feedback-Antworten in den USA und anderen Ländern unter dem Data Privacy Framework — die personenbezogenen Daten Ihrer chinesischen Befragten sind also ein grenzüberschreitender Transfer, den PIPL regelt, mit der Controller-Pflicht bei Ihnen, nicht bei Medallia. Ein Compliance-zuerst-Blick darauf, wo Umfragedaten leben.
Funktioniert Medallia in China?
Ob Sie Medallia in Festlandchina nutzen können, ist zuerst eine Grenztransfer- und Data-Residency-Frage, keine Geschwindigkeitsfrage. Medallia ist eine Experience-Management-Plattform — sie sammelt die Umfrage- und Feedback-Antworten, und die personenbezogenen Daten darin, die Ihre Marke sammelt — und wo diese Daten verarbeitet werden, ist das, worauf Chinas Recht antwortet.
Nach Medallias eigener Global Privacy Policy gilt für über die Medallia Experience Cloud gesammelte Daten „the customer (i.e., bank, etc.) is the controller and their privacy policy governs", und Medallia ist der Auftragsverarbeiter — die PIPL-Pflicht für die Daten Ihrer chinesischen Befragten liegt also bei Ihnen, nicht bei Medallia. Und Medallia sagt, es „may transfer and process personal data in the United States and in other countries", gestützt auf das US Data Privacy Framework, ohne dass eine Festlandchina-Region genannt wird. Antworten von Ihren China-Nutzern werden also offshore gehalten: ein grenzüberschreitender Transfer, den PIPL regelt, der Mitteilung, gesonderte Einwilligung und einen Transfermechanismus braucht — und, für einen CIIO oder Handler mit hohem Volumen, inländische Speicherung. Die Tabelle unten ist Medallias eigene Formulierung und die Regeln, die sie auslöst.
Dies ist ein Risikobild, kein Urteil — Ihre Pflichten hängen von Ihren Datenmengen und Ihrer Rolle ab. Unser China-Team kann Ihre Medallia-Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! Aus Offshore bedient — jede China-Umfrageantwort überquert die Grenze, um Medallia zu erreichen
- ! Für Umfrage- & Feedback-Daten sind Sie der Controller, die PIPL-Pflicht ist also Ihre, nicht Medallias
- ! Offshore gehaltene personenbezogene Daten der Befragten sind ein grenzüberschreitender Transfer, den PIPL regelt
- ✕ Keine Festlandchina-Region oder Residency-Option; US-Transfers stützen sich auf das Data Privacy Framework
- ✓ Ein rechtskonformer, ICP-eingereichter inländischer Auslieferungspfad existiert — eine Overlay, kein Neuaufbau oder Migration
Was die offizielle Medallia-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| In Medallias eigenen Worten: für über die Medallia Experience Cloud gesammelte Daten gilt „the customer (i.e., bank, etc.) is the controller and their privacy policy governs", und Medallia verarbeitet sie „only on their instructions" als Auftragsverarbeiter. Für die Umfrage- und Feedback-Antworten, die Ihre Marke von Nutzern in China sammelt, sind Sie also der Handler personenbezogener Daten nach PIPL — die Grenztransfer-Pflicht ist Ihre, nicht Medallias. | Medallia — Global Privacy Policy (Processor Role), gültig ab 2026-09-30, abgerufen 2026-10-08 |
| Medallias Global Privacy Policy gibt an, es „may transfer and process personal data in the United States and in other countries where we, our affiliates, or our service providers operate", und dass es für Transfers in die USA auf seine Zertifizierung unter dem EU-U.S., UK and Swiss Data Privacy Framework setzt. Keine Festlandchina-Region wird genannt, die Antworten, die Sie von Ihren China-Nutzern sammeln, werden also offshore gehalten. | Medallia — Global Privacy Policy (International Data Transfers), abgerufen 2026-10-08 |
| Weil diese Antworten China verlassen, regelt PIPL den grenzüberschreitenden Transfer: der Handler muss Mitteilung geben, gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. | PIPL Kapitel III, Artikel 38–43 |
| Die Exponierung skaliert mit Volumen und Rolle, nicht bloß mit der Nutzung des Tools: nach den Grenztransfer-Regeln der CAC vom März 2024 ist ein Nicht-CIIO, der in einem Kalenderjahr die nicht-sensiblen personenbezogenen Daten von weniger als 100.000 Personen überträgt, von der Sicherheitsbewertung, dem Standardvertrag und der Zertifizierung befreit. | CAC — Regulations on Promoting and Regulating Cross-border Data Flows, März 2024 |
| Für einen CIIO oder Handler mit hohem Volumen muss in China gesammelte personenbezogene Information innerhalb Festlandchinas gespeichert werden (PIPL Artikel 40; CSL Artikel 39 (vormals Artikel 37)). Medallia veröffentlicht keine Festlandchina-Region, die Daten Ihrer chinesischen Befragten auf chinesischem Boden zu halten bedeutet also, diese Erhebung und Speicherung auf Infrastruktur innerhalb des Festlands zu betreiben — und genau dort kommt eine ICP-Beian ins Bild. | PIPL Article 40; CSL Article 39 (formerly Article 37); Medallia — Global Privacy Policy, abgerufen 2026-10-08 |
Quellen vom 21YunBox Compliance-Team am 8. Oktober 2026 geprüft.
Für ein Festlandchina-Publikum ist die entscheidende Frage zu Medallia nicht, wie schnell eine Umfrage zeichnet — es ist, wer für die Antworten verantwortlich ist, die es sammelt, und wo diese Antworten leben dürfen. Medallia ist eine Experience-Management-Plattform: sie sammelt Umfrage- und Feedback-Antworten, und die personenbezogenen Daten darin, auf Infrastruktur außerhalb Festlandchinas. Medallia beantwortet beide Teile in seiner eigenen Global Privacy Policy. Für die Daten, die Ihre Marke über die Plattform sammelt, sagt Medallia, dass sein Kunde — Sie — der Controller ist, und dass es diese Daten in den Vereinigten Staaten und anderen Ländern übertragen und verarbeiten darf. Die Daten überqueren also die Grenze, und die Pflicht, diesen Übertritt nach Chinas Recht freizugeben, ist Ihre.
Medallia in China auf einen Blick
| Was darüber entscheidet | In Medallias eigenen Worten |
|---|---|
| Wo es läuft | Offshore. Medallias Datenschutzrichtlinie sagt, es dürfe personenbezogene Daten “in the United States and in other countries where we, our affiliates, or our service providers operate” verarbeiten, und für US-Transfers stützt es sich auf das EU-U.S., UK and Swiss Data Privacy Framework. Keine Festlandchina-Region wird genannt. |
| Wer ist der Controller | Für Daten, die über die Medallia Experience Cloud gesammelt werden, sagt Medallia “the customer (i.e., bank, etc.) is the controller and their privacy policy governs”; Medallia handelt als Auftragsverarbeiter auf Ihre Weisung. Die PIPL-Handler-Pflicht liegt bei Ihnen. |
| Die Daten Ihrer Befragten | Personenbezogene Daten in den Umfrageantworten Ihrer chinesischen Befragten werden offshore verarbeitet — ein grenzüberschreitender Transfer, den PIPL regelt, der Mitteilung, gesonderte Einwilligung und einen Transfermechanismus braucht. |
| Data Residency | Keine Festlandchina-Speicheroption ist veröffentlicht. Ein CIIO oder Handler mit hohem Volumen schuldet inländische Speicherung (PIPL Art. 40; CSL Art. 39 (vormals Art. 37)), die Offshore-Verarbeitung nicht erfüllen kann. |
| Erreichbarkeit | Die Plattform und ihre Umfrage-Widgets werden aus Offshore bedient. Ob eine Umfrage schnell oder langsam zeichnet, ist eine Auslieferungsfrage — getrennt davon, ob der Grenzübertritt freigegeben ist. |
Bei Umfragedaten sind Sie der Controller — die PIPL-Pflicht ist also Ihre
Medallia zieht eine klare Linie in seiner Global Privacy Policy. Für die über die Medallia Experience Cloud gesammelten Antworten sagt es, “the customer (i.e., bank, etc.) is the controller and their privacy policy governs”, und dass es diese Daten “only on their instructions” als Auftragsverarbeiter verarbeitet. In Chinas Begriffen macht das Ihre Marke — nicht Medallia — zum Handler personenbezogener Daten für jede Umfrage- und Feedback-Antwort, die Sie von Nutzern im Festland sammeln. Die Pflichten, die an diese Daten anknüpfen, sind also Ihre zu erfüllen, und „Medallia kümmert sich um den Datenschutz” überträgt sie nicht von Ihnen weg. Befragte zu erreichen ist nicht dasselbe wie freigegeben zu sein, ihre Daten zu sammeln und zu bewegen.
Die Daten Ihrer chinesischen Befragten werden offshore verarbeitet
Medallia ist “a global company headquartered in the United States”, und in seinen eigenen Worten “may transfer and process personal data in the United States and in other countries where we, our affiliates, or our service providers operate”. Für Transfers in die Vereinigten Staaten stützt es sich auf seine Zertifizierung unter dem EU-U.S., UK and Swiss Data Privacy Framework. Nicht eine einzige Festlandchina-Region erscheint in dieser Richtlinie, die Umfrageantworten, die Sie von chinesischen Nutzern sammeln, werden also außerhalb des Festlands verarbeitet und gespeichert.
Nach Chinas Gesetz zum Schutz personenbezogener Daten ist das ein grenzüberschreitender Transfer, und der Handler — Sie, als Controller der Antworten — muss Mitteilung geben, gesonderte Einwilligung einholen und einen Transfermechanismus freigeben: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. Wenn Sie ein Betreiber kritischer Informationsinfrastruktur oder ein Handler mit hohem Volumen sind, muss in China gesammelte personenbezogene Information im Festland gespeichert werden (PIPL Artikel 40; Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37)) — eine Residency-Pflicht, die keine offshore gelegene Region erfüllen kann, und der Punkt, an dem das Aufstellen rechtmäßiger inländischer Erhebung eine ICP-Beian in den Blick bringt.
Dies ist eine Risikokarte, kein Urteil: ob Sie einen Transfermechanismus, inländische Speicherung oder beides schulden, hängt davon ab, was Sie sammeln, wie viel personenbezogene Daten Sie halten und wer Ihre Befragten sind — wert, mit Rechtsbeistand zu klären, bevor Sie bauen.
Erreichbar oder nicht, jede Antwort überquert dennoch die Grenze
Medallias Plattform und die Umfrage-Widgets, die sie bedient, laden aus Offshore. Ob eine bestimmte Umfrage für einen Befragten in China schnell oder langsam zeichnet, ist eine Auslieferungsfrage — und eine echte — aber es ist nicht die Frage, die entscheidet, ob Sie sie nutzen dürfen. Selbst eine Umfrage, die sofort öffnet, sendet die Antwort, und die personenbezogenen Daten darin, weiterhin aus dem Festland hinaus an Medallias offshore gelegene Infrastruktur. Dieser Übertritt ist die Exponierung, und das Netzwerk zu optimieren schließt sie nicht; nur wo die Daten gesammelt und gespeichert werden, tut es das.
Wo 21YunBox passt — eine rechtskonforme Overlay, keine Migration
Sie betreiben Ihre Medallia-Programme weiter. Wir fügen das Stück hinzu, das eine offshore gelegene Plattform nicht kann: rechtskonforme, ICP-eingereichte Auslieferung aus dem Festland heraus, vor Ihren bestehenden Stack gesetzt — kein Neuaufbau, keine zweite Codebasis und kein Wechsel weg von Medallia. Unser China-Team kartiert Ihre PIPL-Grenztransfer- und Data-Residency-Pflichten gegen Ihre Rechtsperson und das Volumen der Antworten, die Sie sammeln, und stellt dann die inländische Auslieferung auf und, wo das Recht verlangt, dass die Daten Ihrer chinesischen Befragten im Festland bleiben, die inländische Speicherung, die eine rechtmäßige China-Präsenz braucht.
Compliance-Einschätzung anfordern →
Weiterführend:
Häufige Fragen
Speichert Medallia die Daten chinesischer Umfragebefragter in China?
Nein. Nach Medallias eigener Global Privacy Policy darf es personenbezogene Daten in den Vereinigten Staaten und anderen Ländern übertragen und verarbeiten, in denen es, seine verbundenen Unternehmen oder seine Dienstleister tätig sind, und es stützt sich für Transfers in die Vereinigten Staaten auf das US Data Privacy Framework. Keine Festlandchina-Region wird genannt, die Antworten, die Sie von Ihren China-Nutzern sammeln, werden also offshore gehalten.
Wer ist nach PIPL für in China gesammelte Umfragedaten verantwortlich — Medallia oder wir?
Für über die Medallia Experience Cloud gesammelte Daten sagt Medallias Richtlinie, dass der Kunde der Controller ist und Medallia nur der Auftragsverarbeiter, der auf Weisung des Kunden handelt. In Chinas Begriffen macht das Ihre Marke zum Handler personenbezogener Daten, die Pflicht, Mitteilung zu geben, gesonderte Einwilligung einzuholen und einen Transfermechanismus freizugeben, ist also Ihre, nicht Medallias. Behandeln Sie es als ein Risiko, das mit Rechtsbeistand einzuschätzen ist, nicht als pauschales Verbot.
Kann 21YunBox helfen, unser Medallia-Setup in China rechtskonform zu machen?
Ja. Unser China-Team kann Ihnen helfen, die Grenztransfer- und Data-Residency-Exponierung für Ihre Befragten-Volumen und Ihre Rolle einzuschätzen, und die rechtskonforme, ICP-eingereichte inländische Auslieferung aufzustellen — und, wo das Recht verlangt, dass die Daten Ihrer chinesischen Befragten im Festland bleiben, inländische Speicherung. Melden Sie sich, um Ihren konkreten Fall durchzuarbeiten.
