Funktioniert Medusa in China? PIPL-Grenztransfer, ICP-Beian & Data Residency

Medusa ist eine MIT-lizenzierte, selbst-hostbare Commerce-Plattform, ob es also in Festlandchina funktioniert, entscheidet sich daran, wo Sie es betreiben: ein offshore gehosteter Store hält die personenbezogenen Daten (PII) und Bestellungen Ihrer Kunden außerhalb des Festlands — ein PIPL-Grenztransfer — die Storefront braucht weiterhin eine ICP-Beian, und China-Zahlung läuft durch einen lizenzierten inländischen Pfad. Ein Compliance-zuerst-Blick auf die Residency-, ICP- und Zahlungs-Exponierung.

Vom 21YunBox Compliance-Team · Geprüft 10. Oktober 2026 · Anhand der offiziellen Medusa-Dokumentation geprüft

Funktioniert Medusa in China?

Medusa hat keine China-Region zum Einschalten — sein MIT-lizenzierter Kern ist Software, die Sie selbst hosten, ob es also in Festlandchina „funktioniert", entscheidet sich daran, wo Sie den Server betreiben und was Sie mit den Kunden-PII und Bestellungen tun, die es speichert, nicht an Medusa.

Medusa ist eine Plattform, um „build custom commerce applications", und seine Deployment-Docs sagen „your server connects to a PostgreSQL database" auf einem Node.js-Host Ihrer Wahl — die Kundennamen, Adressen, Telefonnummern, Bestellungen und das Verhalten, die es hält, leben also, wo immer Sie deployen. Hosten Sie diesen Store offshore, um Festland-Käufer zu bedienen, und Sie machen einen PIPL-Grenztransfer ihrer personenbezogenen Daten; die öffentliche Storefront braucht weiterhin eine ICP-Beian, und China-Zahlung läuft durch einen lizenzierten inländischen Pfad. Weil der Kern Open Source und selbst-hostbar ist, ist der rechtmäßige Hebel, die Store-Daten im Inland zu halten — die Engine im Festland selbst hosten — den Auslieferungspfad ICP-einzureichen und Zahlung über einen lizenzierten inländischen Anbieter zu leiten, nicht eine offshore gelegene Storefront erreichbar zu machen (21YunBox ist beratend zur Zahlung).

Dies ist eine Risikokarte, kein Urteil — welche Einreichung, welcher Grenztransfer-Mechanismus und welcher Zahlungspfad Sie brauchen, hängt von Ihrer Rechtsperson, Ihrem Hosting und davon ab, wer Ihre Käufer sind. Unser China-Team kann Ihre Exponierung kartieren →

Compliance-Momentaufnahme

! Medusa ist MIT-lizenzierte, selbst-gehostete Software — Compliance hängt davon ab, wo Sie es betreiben
✕ Ein offshore gehosteter Medusa-Store hält Kunden-PII und Bestellungen außerhalb des Festlands
! Die öffentliche Storefront braucht eine ICP-Beian, gebunden an einen lizenzierten Festland-Host
! China-Zahlung läuft durch einen lizenzierten inländischen Pfad — 21YunBox berät, ist nicht lizenziert
✓ Medusa im Inland selbst hosten, Auslieferung ICP-einreichen, lizenzierte Zahlung nutzen — ein rechtmäßiger Pfad

Compliance-Einschätzung anfordern

Wir kartieren den Datenpfad, die Einreichung und die Zahlungsroute mit Ihnen — keine China-Rechtsperson nötig, um zu beginnen

Was die offizielle Medusa-Dokumentation über China sagt

Fakt	Primärquelle
Medusas Kern ist MIT-lizenzierte, selbst-gehostete Software — es gibt keine von Medusa betriebene China-Region zum Einschalten. Medusas eigene README gibt an, „Medusa uses an open-core model. The core is licensed under the MIT License", und dass es eine Plattform ist, um „build custom commerce applications", die Sie selbst betreiben. Weil Sie den Host wählen und betreiben, entscheidet sich daran, wo Sie deployen, ob Ihre Storefront in Festlandchina lizenziert und bedient werden kann, nicht an Medusa — ein öffentlicher kommerzieller Store, der Festland-Käufern bedient wird, braucht eine ICP-Beian, gebunden an einen lizenzierten Festland-Host.	Medusa — GitHub README (github.com/medusajs/medusa), abgerufen 2026-10-10
Sie hosten Medusa selbst auf einem Host Ihrer Wahl, und sein Server hält Ihre Store-Daten in Ihrer eigenen Datenbank. Medusas Deployment-Docs sagen, die Anwendung „must be deployed to a hosting provider supporting Node.js server deployments" und dass „your server connects to a PostgreSQL database, Redis, and other services relevant for your setup" — die Kundenkonten, Warenkörbe und Bestellungen leben in dieser Datenbank. Medusa Cloud ist die verwaltete Alternative („Cloud hosts your server, Admin dashboard, database, and Redis instance"), und seine Dokumentation nennt keine Festlandchina-Region. Deployen Sie offshore, und die personenbezogenen Daten Ihrer Festland-Käufer werden außerhalb Chinas gehalten — ein grenzüberschreitender Transfer nach PIPL (Artikel 38–40).	Medusa — Deployment docs (docs.medusajs.com/learn/deployment) & Cloud FAQ (docs.medusajs.com/cloud/faq), abgerufen 2026-10-10; PIPL Articles 38–40
Für Festland-Käufer sind die PII, die ein Medusa-Store sammelt, ein grenzüberschreitender Transfer, wenn der Store offshore gehostet wird. Die Namen, Adressen, Telefonnummern, E-Mails und die Bestellhistorie, die beim Checkout gesammelt werden, sind personenbezogene Daten nach Chinas Gesetz zum Schutz personenbezogener Daten; sie aus dem Festland zu übertragen verlangt Mitteilung, eine gesonderte Einwilligung, getrennt von der Kaufzustimmung des Käufers (Artikel 13 und 23), und einen Transfermechanismus — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung (Artikel 38–40).	China Personal Information Protection Law (PIPL), Articles 13, 23, 38–40, geprüft 2026-10-10
Die Storefront braucht eine ICP-Beian, und ein Handler mit hohem Volumen muss die Daten im Inland speichern. Eine öffentliche Storefront, die Festlandchina bedient wird, trägt eine ICP-Beian (备案)-Pflicht, und ein transaktionaler Store braucht im Allgemeinen die kommerzielle ICP-Lizenz (经营许可证), gebunden an einen lizenzierten Festland-Host; eine im Ausland gehostete Storefront kann nicht wie vorliegend ICP-eingereicht werden. Ein Betreiber kritischer Informationsinfrastruktur oder Handler mit hohem Volumen muss zudem in China gesammelte personenbezogene Daten im Festland speichern — Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37) (die Novelle von 2025, in Kraft seit 1. Januar 2026, hat ihn von 37 auf 39 umnummeriert, Substanz unverändert); PIPL Artikel 40.	21YunBox Compliance Team — China Cybersecurity Law Article 39 (formerly Article 37); PIPL Article 40; State Council Order No. 292; MIIT Order No. 33, geprüft 2026-10-10

Quellen vom 21YunBox Compliance-Team am 10. Oktober 2026 geprüft.

Für einen China-gerichteten Store ist die entscheidende Frage zu Medusa nicht, ob die Storefront schnell rendert — es ist, wo die personenbezogenen Daten, Bestellungen und das Verhalten Ihrer Kunden leben dürfen, ob diese Storefront ICP-eingereicht werden kann und wie China-Zahlung abgewickelt wird. Medusa ist eine Open-Source-Digital-Commerce-Plattform: ihr Kern ist unter der MIT-Lizenz lizenziert, und Sie hosten es selbst auf einem Node.js-Host Ihrer Wahl, wo der Server sich mit einer PostgreSQL-Datenbank verbindet, die Ihre Kunden, Warenkörbe und Bestellungen hält. Eine verwaltete Option, Medusa Cloud, stellt diese Infrastruktur für Sie bereit. Diese Selbst-Hostbarkeit ist hier der ehrliche Hebel — sie ist es, die Sie China-Kundendaten im Inland halten lässt. Vier Stränge entscheiden die Antwort: grenzüberschreitender Transfer von Kunden-PII; die ICP-Beian, die die öffentliche Storefront braucht; lizenzierte inländische Zahlung; und inländische Speicherung für einen CIIO oder Handler mit hohem Volumen.

Medusas Deployment-Dokumentation, die angibt, dass eine selbst-gehostete Medusa-Anwendung auf einem Node.js-Hosting-Anbieter Ihrer Wahl deployt wird, wo der Server sich mit Ihrer eigenen PostgreSQL-Datenbank verbindet, mit Medusa Cloud als verwalteter Alternative — “Your server connects to a PostgreSQL database, Redis, and other services relevant for your setup.” Weil Medusa auf einem Node.js-Host Ihrer Wahl selbst gehostet wird, kann diese Datenbank — die Ihre Kunden, Warenkörbe und Bestellungen hält — auf Festland-Infrastruktur sitzen, die Sie kontrollieren, mit Medusa Cloud als verwalteter Alternative. Quelle: Medusa Docs — Deployment

Medusa in China auf einen Blick

Was darüber entscheidet	In Medusas eigenen Worten — und Chinas Recht
Was Sie halten	Kundenkonten — Namen, Lieferadressen, Telefonnummern, E-Mails — plus Warenkörbe, Bestellungen und Browsing-Verhalten, gehalten in Ihrer Medusa-PostgreSQL-Datenbank. Für Käufer in China ist all das personenbezogene Daten.
Wo es läuft	Medusas MIT-lizenzierter Kern wird auf einem Node.js-Host Ihrer Wahl selbst gehostet; Medusa Cloud ist die verwaltete Alternative, und seine Dokumentation nennt keine Festlandchina-Region. Betreiben Sie einen China-Store auf einem offshore gelegenen Deployment, und die Kunden-PII und Bestellungen sitzen offshore — ein grenzüberschreitender Transfer nach PIPL Artikel 38–40 (数据出境).
Die ICP-Beian-Tür	Die Storefront ist ein öffentlicher Internetdienst in China, der eine ICP-Beian (备案)-Pflicht trägt; eine im Ausland gehostete Storefront auf einer ausländischen Domain kann nicht wie vorliegend ICP-eingereicht werden, ein rechtskonformer China-Store braucht also einen inländischen, ICP-eingereichten Auslieferungspfad.
Zahlung und Residency	Chinas Mobile Wallets anzunehmen läuft durch einen lizenzierten inländischen Zahlungspfad — eine regulierte Nicht-Bank-Tätigkeit, die eine ausländische Plattform nicht direkt bereitstellen kann (21YunBox berät hier; es hält keine Zahlungslizenz). Ein CIIO oder Handler mit hohem Volumen muss die Daten im Inland speichern (Cybersicherheitsgesetz Artikel 39, vormals Artikel 37; PIPL Artikel 40).
Erreichbarkeit ist nicht die Achse	Ob die Storefront lädt, ist nicht die Frage; wo die Daten des Stores ruhen und ob er rechtmäßig eingereicht und bezahlt wird, ist es. Der Hebel: Kunden-PII und Bestellungen im Inland halten, indem Sie die Open-Source-Engine im Festland selbst hosten, den Auslieferungspfad ICP-einreichen und Zahlung über einen lizenzierten inländischen Anbieter leiten.

Was Sie tatsächlich halten — Kunden-PII, Bestellungen und Verhalten

Medusa beschreibt sich selbst als “a commerce platform with a built-in framework for customization that allows you to build custom commerce applications without reinventing core commerce logic”, und seine zentralen Commerce-Module — Kunde, Warenkorb, Bestellung, Preisgestaltung, Inventar, Fulfillment — sind Open Source und laufen auf Ihrem eigenen Server. Diese Architektur ist für China von Bedeutung, denn sie sagt Ihnen genau, wo Ihre am stärksten regulierten Daten sitzen. Ein Medusa-Store hält Kundenkonten mit Namen, Lieferadressen, Telefonnummern und E-Mails; er hält die Warenkörbe und Bestellungen, die diese Kunden aufgeben; und er zeichnet das Verhalten dahinter auf. Medusas Deployment-Dokumentation ist deutlich darüber, wo diese Datenbank lebt: “Your server connects to a PostgreSQL database, Redis, and other services relevant for your setup.”

Der Server stellt eine öffentliche Store API bereit, die die Browser der Käufer aufrufen, und eine privilegierte Admin API, die Ihr Team nutzt, aber beide lesen und schreiben dieselbe Datenbank. Die Frage „wo leben meine Kundendaten?” hat also eine Antwort — wo immer Sie den Medusa-Server deployt haben. Für einen Store, der Festlandchina-Käufer bedient, ist diese Datenbank ein Speicher ihrer personenbezogenen Daten, und ihr physischer Ort ist eine Data-Residency-Frage. Deployen Sie ihn offshore, und diese Information wird außerhalb des Festlands gehalten; hosten Sie ihn selbst im Inland, und sie bleibt im Festland. Medusa gibt Ihnen diese Wahl; es trifft sie nicht für Sie.

Drei Türen: grenzüberschreitende Kundendaten, eine ICP-eingereichte Storefront und lizenzierte Zahlung

Grenzüberschreitender Transfer von Kunden-PII. Weil der Store personenbezogene Daten hält, ist das Betreiben eines China-gerichteten Stores auf einem offshore gelegenen Deployment ein grenzüberschreitender Transfer (数据出境) in dem Moment, in dem diese Daten aus China erhoben werden. Das Gesetz zum Schutz personenbezogener Daten legt die Pflicht auf den Handler — Sie, den Store-Betreiber, nicht Medusa. Artikel 38–40 verlangen eine klare Mitteilung, eine gesonderte Einwilligung, getrennt von der Kaufzustimmung des Käufers (Artikel 13 und 23), und einen rechtmäßigen Transfermechanismus: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. Wenn Sie ein Betreiber kritischer Informationsinfrastruktur sind oder personenbezogene Daten über den Volumenschwellen der Regulierer verarbeiten — die Stores mit hohem Verkehr routinemäßig überschreiten — müssen die Daten zudem im Festland gespeichert werden, die Datenlokalisierungspflicht des Cybersicherheitsgesetzes Artikel 39 (vormals Artikel 37; die Cybersicherheitsgesetz-Novelle von 2025, in Kraft seit 1. Januar 2026, hat den Datenlokalisierungsartikel von 37 auf 39 umnummeriert, Substanz unverändert), verstärkt durch PIPL Artikel 40.

Eine ICP-eingereichte Storefront. Eine China-gerichtete Storefront ist ein öffentlicher Internetdienst, und eine öffentliche Seite, die Festland-Nutzern bedient wird, trägt eine ICP-Beian (备案)-Pflicht. Ein transaktionaler Store, der verkauft und Zahlung annimmt, betreibt kommerziellen Internet-Informationsdienst, was im Allgemeinen die kommerzielle ICP-Lizenz (经营许可证) verlangt, gebunden an einen lizenzierten Festland-Host. Eine im Ausland gehostete Medusa-Storefront auf einer ausländischen Domain kann nicht wie vorliegend ICP-eingereicht werden — Festland-Käufer rechtskonform zu erreichen bedeutet also einen inländischen, ICP-eingereichten Auslieferungspfad, nicht einfach eine ausländische Storefront auf China zu richten.

Lizenzierte inländische Zahlung. Chinas dominante Mobile Wallets anzunehmen bedeutet, über einen lizenzierten inländischen Zahlungspfad abzuwickeln — eine regulierte Nicht-Bank-Zahlungstätigkeit, die eine ausländische Plattform nicht direkt bereitstellen kann — und Chinas E-Commerce-Gesetz legt weitere Plattform- und Verbraucherschutzpflichten darüber. 21YunBox berät zur Leitung der Zahlung an einen lizenzierten inländischen Anbieter; es ist nicht selbst ein Zahlungslizenznehmer.

Die Storefront zu erreichen ist nicht die Frage — ein rechtskonformer inländischer Store ist es

Ob die Medusa-Storefront aus China erreichbar ist, ist nicht die Compliance-Frage; wo die Kunden-PII und Bestellungen des Stores ruhen, ob die Storefront eingereicht ist und wie Zahlung abgewickelt wird, ist es. Und hier ist Medusas Lizenz die Öffnung, die die meisten Teams übersehen. Der Kern ist Open Source unter der MIT-Lizenz und vollständig selbst-hostbar: Sie deployen es auf einem Node.js-Host Ihrer Wahl, und der Server “connects to a PostgreSQL database”, die Sie auf Festland-Infrastruktur platzieren können, die Sie kontrollieren. Der rechtmäßige Pfad ist dann, China-Kunden-PII und Bestellungen im Inland zu halten, indem Sie die offene Engine im Festland selbst hosten — minimieren und pseudonymisieren, was der Store sammelt, sodass weniger personenbezogene Daten auf dem Spiel stehen — den Auslieferungspfad davor ICP-einzureichen und China-Zahlung über einen lizenzierten inländischen Anbieter zu leiten. Die Daten im Inland zu halten bedeutet genau das: die Daten des Stores bleiben auf einem Festland-Pfad, nie eine Route, die sie offshore und zurück verschifft.

Dies ist eine Risikokarte, kein Urteil: ob eine Lokalisierungspflicht gilt, welcher Grenztransfer-Mechanismus passt und welche ICP-Spur und welcher Zahlungspfad Sie brauchen, hängt von Ihrer Rechtsperson ab, davon, wie viel personenbezogene Daten Sie halten und wessen sie sind — klären Sie die Einzelheiten mit Rechtsbeistand, bevor Sie bauen.

Der rechtskonforme Pfad — kartieren, lokalisieren, ausliefern

Medusa bleibt Ihre Commerce-Plattform; nichts wird neu gebaut oder migriert. Was 21YunBox hinzufügt, ist die Compliance- und Auslieferungsschicht darum herum.

Kartieren. Wir inventarisieren die Kunden-PII, Bestellungen und Verhaltensdaten, die Ihr Store hält, wo der Medusa-Server und seine Datenbank heute laufen, wie China-Zahlung gehandhabt wird, ob die Storefront eingereicht ist und Ihre Einwilligungsgrundlage — sodass das Residency-, ICP- und Zahlungsbild konkret ist.
Lokalisieren. Wir helfen Ihnen, China-Kunden-PII und Bestellungen im Inland zu halten, indem Sie die Open-Source-Engine auf Festland-Infrastruktur selbst hosten, minimieren und pseudonymisieren, was der Store sammelt, die Einwilligung nach Artikel 13/23 einholen und China-Zahlung über einen lizenzierten inländischen Anbieter leiten. Lokalisieren bedeutet, die Store-Daten bleiben auf einem inländischen Pfad.
Ausliefern. Die Storefront ist eine öffentliche Seite, die eine ICP-Beian-Pflicht trägt und rechtskonforme, inländische Auslieferung braucht — der 21YunBox Optimizer, vor dem Stack, den Sie bereits betreiben, ohne Neuaufbau.

21YunBox ist eine rechtskonforme Overlay und ein Partner, kein Konkurrent zu Medusa, und ist beratend zur Zahlungslizenzierung. 21YunBox nutzt oder empfiehlt niemals Umgehung jeglicher Art. Das Ziel ist einfach: Ihr Medusa-Store läuft legal und rechtskonform für Ihre Nutzer in China.

Compliance-Einschätzung anfordern →

Weiterführend:

Häufige Fragen

Wir betreiben Medusa bereits — funktioniert es einfach, wenn wir es auf chinesische Kunden richten?

Erreichbarkeit ist nicht die Frage. Medusa ist Software, die Sie hosten, ein Store, den Sie von einem offshore gelegenen Server betreiben, ist also erreichbar, hat aber keine ICP-Beian — und eine öffentliche kommerzielle Storefront, die Festland-Käufern bedient wird, braucht eine, im Allgemeinen die kommerzielle ICP-Lizenz (经营许可证), gebunden an einen lizenzierten Festland-Host. Unterdessen sitzen die Kundenkonten, Bestellungen und Checkout-Daten, die Medusa aufzeichnet, wo immer Ihr Server ist. „Wir betreiben Medusa bereits" klärt die China-Frage nicht; wo Sie es hosten, tut es.

Ist es ein Problem, von einem im Ausland gehosteten Medusa-Store nach Festlandchina zu verkaufen?

Behandeln Sie es als ein Risiko, das mit Rechtsbeistand einzuschätzen ist, nicht als pauschales Ja oder Nein. Zwei Dinge folgen aus dem Offshore-Hosting: eine öffentliche Storefront, die von außerhalb des Festlands bedient wird, kann keine ICP-Beian halten, und die Namen, Adressen, Telefonnummern und Zahlungsdetails, die beim Checkout gesammelt werden, verlassen das Festland — ein grenzüberschreitender Transfer personenbezogener Daten, den PIPL regelt (Mitteilung, gesonderte Einwilligung und einen Transfermechanismus, Artikel 38–40). Wenn Sie ein Betreiber kritischer Informationsinfrastruktur oder ein Handler mit hohem Volumen sind, müssen diese Daten möglicherweise in China gespeichert werden (Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37); PIPL Artikel 40), und China-Zahlung muss über einen lizenzierten inländischen Pfad abgewickelt werden.

Kann 21YunBox helfen, unseren Medusa-Store in China funktionieren zu lassen?

Ja. Weil Medusa Open Source und selbst-hostbar ist, helfen wir Ihnen, Kunden-PII und Bestellungen im Inland zu halten, indem Sie die Engine auf Festland-Infrastruktur betreiben, kartieren Ihre PIPL-Grenztransfer- und Data-Residency-Exponierung für Ihre Rechtsperson und Ihre Käufer und stellen ICP-eingereichte, inländische Auslieferung vor dem Medusa-Store auf, den Sie bereits betreiben — kein Neuaufbau, keine zweite Codebasis — während wir zur Leitung der China-Zahlung über einen lizenzierten inländischen Anbieter beraten. Melden Sie sich, um Ihren konkreten Fall durchzuarbeiten.

Artikel zu Medusa

Website

https://medusajs.com/

Kategorien

eCommerce