Funktioniert Northpass in China? ICP, PIPL & wo die Daten Ihrer Lernenden leben
Northpass — jetzt Gainsights Customer-Education-Plattform — speichert die Daten Ihrer Lernenden in US-Rechenzentren ohne Festlandchina-Region, eine China-gerichtete Academy wird also offshore bedient: die personenbezogenen Daten der Lernenden werden zu einem grenzüberschreitenden Transfer nach PIPL, und die öffentliche Academy hat keinen ICP-Beian-Pfad. Ein Compliance-zuerst-Blick auf die zwei Türen.
Funktioniert Northpass in China?
Es lädt — aber das ist die kleinere Frage. Northpass, jetzt Gainsights Customer-Education-Plattform, hält die Namen, E-Mails und Kursdatensätze Ihrer Lernenden in US-Rechenzentren ohne Festlandchina-Region, chinesische Lernende zu bedienen ist also eine Compliance-Exponierung, bevor es eine Geschwindigkeits-Exponierung ist.
In seinem eigenen Datenschutzhinweis erklärt Gainsight „We maintain primary data centers in the USA," und seine Unterauftragsverarbeiterliste betreibt den Customer-Education-(CE-)Dienst — die Northpass-Plattform — auf „Amazon Web Services, Inc." in den „United States," ohne Standort innerhalb des Festlands China. Erheben Sie personenbezogene Daten von Lernenden auf dem Festland in diese Academy, und sie verlassen das Land: ein grenzüberschreitender Transfer personenbezogener Daten, den PIPL regelt (Benachrichtigung, gesonderte Einwilligung und ein Transfermechanismus; Artikel 38–43), auf einer Infrastruktur, die nicht ICP-eingereicht werden kann. Gainsight fügt hinzu, dass es diese Daten „in our role as a service provider" behandelt und dass Ihr Unternehmen „is the controller" — nach PIPL ist die Pflicht also Ihre, nicht die des Anbieters. Die Tabelle unten ist Gainsights eigene Formulierung und die Regel, die jede Zeile auslöst.
Dies ist eine Risikokarte, kein Urteil — welche Pflichten greifen, hängt von Ihrer Rechtsperson, Ihren Datenmengen und davon ab, wer Ihre Lernenden sind. Unser China-Team kann Ihre Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! Northpass hält die Daten Ihrer Lernenden in US-Rechenzentren — außerhalb des Festlands
- ! Die personenbezogenen Daten der Lernenden auf dem Festland überqueren die Grenze in die USA — PIPL gilt
- ✕ Eine öffentliche Academy, die von offshore bedient wird, hat keinen ICP-Beian-Pfad
- ✕ Gainsight betreibt keine Festlandchina-Region; seine Transfer-Schutzmaßnahmen sind EU/UK, nicht PIPL
- ! Gainsight ist nur der Dienstleister — die PIPL-Verarbeiterpflicht landet auf Ihnen
Was die offizielle Northpass-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| Northpass ist jetzt Gainsights Customer-Education-Plattform — ein Cloud-LMS, das die Datensätze Ihrer Lernenden hält. Gainsight kündigte am 11. Juli 2023 an, dass „it has signed a definitive agreement to acquire Northpass," und nannte es eine „market-leading digital customer education platform," die Kunden wählen, um „power their digital customer academies." Diese Academies hosten Ihren Kursinhalt und die personenbezogenen Daten dahinter — Lernendennamen, E-Mails, Fortschritt und „course completion rates," in Gainsights Worten — was genau das ist, was dies in China zu einer Data-Residency-Frage macht. | Gainsight — "Gainsight Acquires Leading Customer Education Platform Northpass" press release, abgerufen 2026-10-07 |
| Die personenbezogenen Daten Ihrer Lernenden sitzen in den Vereinigten Staaten, nicht auf dem Festland. Gainsights Datenschutzhinweis — von dem es sagt, dass er „www.northpass.com" abdeckt — erklärt „We maintain primary data centers in the USA" und dass Daten in „countries other than the country in which you are located, including the USA" verarbeitet werden können. Seine Unterauftragsverarbeiterliste betreibt den Customer-Education-(CE-)Dienst auf „Amazon Web Services, Inc." in den „United States," mit Datadog und Snowflake ebenfalls US-ansässig. Kein Standort auf beiden Seiten liegt innerhalb des Festlands China. | Gainsight Privacy Policy (April 2026) & List of Gainsight Sub-Processors (September 2026), abgerufen 2026-10-07 |
| Das macht die Daten der Lernenden auf dem Festland zu einem grenzüberschreitenden Transfer — und die Pflicht ist Ihre, nicht die von Gainsight. Personenbezogene Informationen, die von Lernenden auf dem Festland erhoben und offshore gespeichert werden, sind ein grenzüberschreitender Transfer nach PIPL: der Verarbeiter muss informieren, eine gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen (Artikel 38–43), und ein CIIO oder Verarbeiter großer Mengen muss sie innerhalb Chinas halten (PIPL Artikel 40; Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37)). Gainsights Hinweis sagt, dass es diese Daten „in our role as a service provider" verarbeitet und dass Ihr Unternehmen „is the controller," nach PIPL sind also Sie — nicht die Plattform — der Verarbeiter personenbezogener Daten, der diese Pflichten trägt. | Gainsight Privacy Policy (April 2026), abgerufen 2026-10-07; PIPL Articles 38–43 & 40; Cybersecurity Law Article 39 (formerly Article 37) |
| Gainsights grenzüberschreitende Schutzmaßnahmen sind für Europa gebaut, nicht für China. Der Datenschutzhinweis schützt Transfers mit „the European Commission's Standard Contractual Clauses as issued on 4 June 2021," dem „UK Addendum" und dem „EU-U.S. Data Privacy Framework." Das sind DSGVO- und UK-DSGVO-Instrumente — keines ist ein anerkannter PIPL-Transfermechanismus, und keines erfüllt Chinas Datenlokalisierungsregeln. Für die EU und das UK geklärt zu sein gibt eine Academy auf dem Festland nicht frei. | Gainsight Privacy Policy (April 2026), abgerufen 2026-10-07; PIPL Articles 38–43 |
| Die öffentliche Academy, die Ihre Kurse Lernenden auf dem Festland bedient, braucht eine ICP-Beian — und eine Website außerhalb Chinas kann keine halten. Eine Kunden-Academy, die Besuchern auf dem Festland gezeigt wird, ist eine öffentlich ausgerichtete Website, und eine öffentliche Website, die auf das Festland China bedient wird, hängt an einer ICP-Beian (ICP 备案) nach Erlass Nr. 292 des Staatsrats und MIIT-Erlass Nr. 33, die an eine Hosting-Ressource anknüpfen muss, die physisch innerhalb des Festlands liegt. Northpass betreibt keine Festland-Region — Gainsights Unterauftragsverarbeiterliste zeigt keinen Standort auf dem Festland China — es gibt also nichts darauf, wogegen man einreichen könnte. | State Council Order No. 292; MIIT Order No. 33; List of Gainsight Sub-Processors (September 2026, no mainland-China location), abgerufen 2026-10-07 |
Quellen vom 21YunBox Compliance-Team am 7. Oktober 2026 geprüft.
Für ein Publikum auf dem Festland China ist die entscheidende Frage zu Northpass — der Customer-Education-Plattform, die Gainsight 2023 übernahm und jetzt als seine Customer-Education-(CE-)Linie betreibt — nicht, wie schnell eine Kursseite malt. Sie ist, wo die personenbezogenen Daten Ihrer Lernenden leben dürfen und ob die Academy, die sie bedient, überhaupt zum Betrieb in China freigegeben ist. Gainsight beantwortet die erste in seiner eigenen Dokumentation: Northpass speichert Daten in US-Rechenzentren, ohne Region innerhalb des Festlands China. Eine China-gerichtete Academy auf Northpass ist daher erreichbar, aber vollständig von offshore bedient, was den Namen, die E-Mail und den Abschlussdatensatz jedes Lernenden auf dem Festland in einen grenzüberschreitenden Transfer verwandelt, den Chinas Recht regelt, und die öffentliche Academy ohne Grundlage für eine ICP-Beian lässt. Der Inhalt lädt; die Lizenzierung und die Data Residency sind die Exponierung.
Northpass in China auf einen Blick
| Was es entscheidet | In Gainsights eigenen Worten |
|---|---|
| Wo es läuft | Gainsights Datenschutzhinweis erklärt „We maintain primary data centers in the USA", und seine Unterauftragsverarbeiterliste betreibt den Customer-Education-(CE-)Dienst — Northpass — auf „Amazon Web Services, Inc." in den „United States". Keine Region liegt innerhalb des Festlands China. |
| Wer die Lernendendaten hält | Ein Cloud-LMS: Northpass hostet Ihre „digital customer academies" und die Lernendendatensätze dahinter — Namen, E-Mails, Fortschritt und „course completion rates". Diese personenbezogenen Daten landen in den oben genannten US-Rechenzentren. |
| Wer die Pflicht trägt | Gainsight verarbeitet diese Daten „in our role as a service provider" und benennt Ihr Unternehmen als „the controller". Nach PIPL macht Sie das — nicht Gainsight — zum Verarbeiter personenbezogener Daten. |
| Die Öffentlichkeit bedienen | Eine Kunden-Academy, die Besuchern auf dem Festland gezeigt wird, ist eine öffentlich ausgerichtete Website, und eine öffentliche Website braucht eine ICP-Beian, die an einen Host auf dem Festland gebunden ist. Ohne Festland-Region bietet Northpass keinen eigenen ICP-Beian-Pfad. |
| Transfer-Schutzmaßnahmen | Gainsights grenzüberschreitende Schutzmaßnahmen sind die EU-„Standard Contractual Clauses", das „UK Addendum" und das „EU-U.S. Data Privacy Framework" — DSGVO-Instrumente, von denen keines ein PIPL-Transfermechanismus ist. |
Wo die Daten Ihrer Lernenden tatsächlich leben
Gainsight ist klar über Geografie. Sein Datenschutzhinweis — von dem es sagt, dass er für „www.northpass.com” gilt — erklärt unverblümt „We maintain primary data centers in the USA,” und warnt, dass personenbezogene Daten in „countries other than the country in which you are located, including the USA,” verarbeitet werden können. Seine Unterauftragsverarbeiterliste trägt dieselbe Geschichte bis zum Anbieter hinab: der Customer-Education-(CE-)Dienst läuft auf „Amazon Web Services, Inc.” in den „United States,” mit Datadog, Snowflake und dem Rest ebenfalls US-ansässig. Kein einziger Eintrag sitzt innerhalb des Festlands China. Für eine Plattform, deren ganze Aufgabe es ist, Lernenden-Identitäten und Schulungsdatensätze zu halten, ist diese eine Tatsache — wo die Daten ruhen — das, was die China-Analyse beginnt, lange bevor jemand eine Ladezeit misst.
Die Daten Ihrer Lernenden auf dem Festland überqueren die Grenze — und die Pflicht ist Ihre
Erheben Sie personenbezogene Daten von Lernenden auf dem Festland in eine US-gehostete Academy, und sie verlassen das Land. Nach Chinas Gesetz zum Schutz personenbezogener Daten ist das ein grenzüberschreitender Transfer, und der Verarbeiter muss informieren, eine gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung (Artikel 38–43). Ein Betreiber kritischer Informationsinfrastruktur oder ein Verarbeiter großer Mengen muss in China erhobene personenbezogene Daten innerhalb des Festlands halten (PIPL Artikel 40; Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37)) — eine Residency-Pflicht, die ein US-Rechenzentrum nicht erfüllen kann. Und die Pflicht ist nicht Gainsights zu tragen: sein Hinweis sagt, dass es diese Daten „in our role as a service provider” behandelt und dass Ihr Unternehmen „is the controller,” was Sie nach PIPL zum Verarbeiter personenbezogener Daten macht. „Wir betreiben unsere Schulung auf Northpass” verschiebt diese Pflicht nicht auf den Anbieter.
Schutzmaßnahmen für Europa sind keine Schutzmaßnahmen für China
Gainsight adressiert grenzüberschreitenden Transfer durchaus — aber für eine andere Grenze. Sein Datenschutzhinweis stützt sich auf „the European Commission’s Standard Contractual Clauses as issued on 4 June 2021,” das „UK Addendum” und das „EU-U.S. Data Privacy Framework.” Das sind DSGVO- und UK-DSGVO-Instrumente; keines davon ist ein anerkannter PIPL-Transfermechanismus, und keines erfüllt Chinas Lokalisierungsregeln. Ein Anbieter, der für Frankfurt und London vollständig geklärt ist, kann eine Academy auf dem Festland dennoch exponiert lassen, weil das Rechtsregime, das die Daten Ihrer chinesischen Lernenden regelt, eines ist, das seine Unterlagen nie nennen.
Die öffentliche Academy braucht weiterhin eine ICP-Beian
Getrennt von der Datenfrage ist die Academy selbst eine öffentlich ausgerichtete Website, die Besuchern auf dem Festland bedient wird, und das hängt an einer ICP-Beian (ICP 备案) nach Erlass Nr. 292 des Staatsrats und MIIT-Erlass Nr. 33. Eine ICP-Beian muss an eine Hosting-Ressource anknüpfen, die physisch innerhalb des Festlands liegt. Northpass betreibt keine Festland-Region, es gibt also nichts darauf, wogegen man einreichen könnte — dieselbe Lücke, die die Daten offshore hält, hält die Academy uneinreichbar. Erreichbarkeit ist eine gesonderte, geringere Sache: ob die Seiten schnell malen, ist die Auslieferungshälfte der Frage, nicht die rechtliche Hälfte, die entscheidet, ob Sie die Academy in China überhaupt betreiben dürfen.
Nichts davon ist ein Urteil — es ist eine Karte dessen, wo das Risiko sitzt. Ob eine ICP-Beian, inländische Speicherung oder beides für Ihre Academy gilt, hängt davon ab, was Sie lehren, wie viele Lernendendaten Sie halten und wo Ihre Lernenden sind — die Art von Entscheidung, die es wert ist, mit Rechtsbeistand geklärt zu werden, bevor Sie die Einschreibung auf dem Festland öffnen.
Wo 21YunBox hineinpasst — ein rechtskonformes Overlay, keine Migration
Nichts hier verlangt, Gainsight zu verlassen. Northpass bleibt Ihr LMS, Ihre Kurse und Lernendendatensätze bleiben darin, und Ihr Team arbeitet weiter so, wie es das heute tut. Was wir hinzufügen, ist die Schicht, die eine US-gehostete Academy strukturell nicht selbst liefern kann: ICP-eingereichte Auslieferung, betrieben aus dem Inneren des Festlands, vor Ihre bestehende Northpass-Academy gesetzt, sodass Lernende auf dem Festland sie über einen rechtskonformen inländischen Pfad erreichen — kein Neuaufbau, keine zweite Codebasis, kein Fork Ihres Inhalts. Zuerst kartiert unser China-Team die Pflichten, die tatsächlich für Sie gelten — Ihre PIPL-Grenz-Position, jede Data-Residency-Pflicht und die ICP-Beian, die die öffentliche Academy braucht — gegen Ihre Rechtsperson und Ihre Lernendenmengen. Dann stellen wir die inländische Auslieferung und Speicherung auf, die eine rechtmäßige Präsenz auf dem Festland erfordert, während die Plattform, der Sie bereits vertrauen, ihre Aufgabe weiter erfüllt.
Compliance-Einschätzung anfordern →
Weiterführend:
Häufige Fragen
Wenn wir Schulung auf Northpass betreiben, ist China-Datencompliance Gainsights Problem oder unseres?
Ihres. Gainsights Datenschutzhinweis sagt, dass es die Lernendendaten in Ihrer Academy „in our role as a service provider" verarbeitet und dass Ihr Unternehmen „is the controller," und fügt hinzu, dass es „not responsible for the privacy or data security practices of our business customers" ist. Nach Chinas PIPL ist der Controller der Verarbeiter personenbezogener Daten, die Pflichten für Ihre Lernenden auf dem Festland — Benachrichtigung, gesonderte Einwilligung und ein rechtmäßiger Transfermechanismus, bevor ihre Daten das Land verlassen — liegen also bei Ihnen. Behandeln Sie Northpass als Infrastruktur, für die Sie verantwortlich sind, nicht als Compliance-Schild.
Ist es illegal, eine China-gerichtete Academy auf Northpass zu betreiben?
Behandeln Sie es als ein mit Rechtsbeistand einzuschätzendes Risiko, nicht als ein flaches Ja oder Nein. Zwei Dinge folgen aus dem Hosting offshore: die personenbezogenen Informationen Ihrer Lernenden auf dem Festland verlassen das Land — ein grenzüberschreitender Transfer, den PIPL regelt — und eine öffentliche Academy, die von außerhalb des Festlands China bedient wird, kann die ICP-Beian, die eine öffentliche Website erfordert, nicht halten. Ob auch eine Datenlokalisierungspflicht gilt, hängt von Ihrer Rolle (zum Beispiel ein Betreiber kritischer Informationsinfrastruktur) und davon ab, wie viele personenbezogene Daten Sie halten. Die Fakten sind Gainsights eigene; wie sie für Ihren Fall landen, ist der Teil, der es wert ist, mit einem Anwalt bestätigt zu werden.
Kann 21YunBox helfen, unsere Northpass-Academy in China funktionieren zu lassen?
Ja. Unser China-Team kann kartieren, welche Pflichten tatsächlich greifen — Ihre PIPL-Grenz- und Data-Residency-Exponierung für Ihre Rechtsperson, Ihre Datenmengen und Ihre Lernenden einschätzen — und die ICP-eingereichte, inländische Auslieferung aufstellen, die eine rechtskonforme Präsenz auf dem Festland erfordert, vor der Northpass-Academy, die Sie bereits betreiben. Sie behalten Gainsight als Ihr LMS; wir fügen die rechtskonforme China-Schicht hinzu, die es nicht leisten kann. Nehmen Sie Kontakt auf, um Ihren spezifischen Fall durchzugehen.
