Funktioniert OneStream in China? Finanzkonsolidierungsdaten, PIPL & Data Residency

Wenn Ihr Finanzteam den Konzernabschluss, die Konsolidierung, Planung und das Reporting auf OneStream für eine China-Tochter betreibt, ist der erste Instinkt zu fragen, ob die Plattform schnell öffnet, oder überhaupt öffnet, vom Festland. Das ist der falsche Ausgangspunkt. OneStream ist eine gehostete Corporate-Performance-Management-Plattform, und was tatsächlich entscheidet, ob Sie es in China nutzen können, ist, wo die Datensätze, die es hält — konsolidierte Ergebnisse, der Hauptbuch-Abschluss, Journale und Abstimmungen, Budgets, Prognosen und Modelle und die Mitarbeiter- und Rechtspersonendaten, die daran hängen — zur Ruhe kommen dürfen und ob diese personenbezogenen Informationen überhaupt eine rechtmäßige Grundlage hatten, das Land zu verlassen. Das ist eine Data-Residency- und Grenz-Frage nach Chinas Recht, und OneStream klärt die faktische Hälfte davon in seinem eigenen Service Description Guide: der Service wird „operated out of several global data centers,” keines auf dem Festland China.

OneStream in China auf einen Blick

Keine Festland-Region, die Konsolidierungen und der Abschluss verlassen also das Land

OneStreams eigener Service Description Guide klärt, wo die Daten sitzen. Der Service wird „operated out of several global data centers,” und „by default, a customer’s region will be automatically selected on their behalf based on the Base Location,” die auf dem Order Schedule benannt ist. Die Default-Regionen sind die Amerikas (östliche und westliche Vereinigte Staaten), Europa und Asien-Pazifik — dessen Paar, Südostasien und Ostasien, Azures Regionen Singapur und Hongkong sind, von denen keine auf dem Festland China ist. Selbst „a customer with a documented data residency requirement may request a different region,” aber nur aus der Alternate-Liste — Kanada, das Vereinigte Königreich und Australien — und „alternate data center locations are only available by customer request.” Keine davon, Default oder Alternate, ist auf dem Festland China.

OneStream liefert den Service aus Drittanbieter-Cloud-Rechenzentren; seine Regionsnamen entsprechen denen von Microsoft Azure, und Microsoft Azure ist unter den Markenhinweisen des Guides gelistet. Microsoft betreibt zwar eine separate, souveräne Azure-China-Cloud über einen lizenzierten lokalen Partner (21Vianet), aber das ist eine rechtlich und physisch eigenständige Umgebung, in die ein Tenant bewusst bereitgestellt werden muss, und sie erscheint nirgends in OneStreams Regionslisten. Die konsolidierten Ergebnisse, der Abschluss, die Journale und die Budgets, die Ihre China-Rechtsperson einspeist, kommen also außerhalb des Festlands zur Ruhe. In dem Moment, in dem diese in China erhobenen personenbezogenen Daten in einer Singapur-, europäischen oder US-Region landen, haben Sie einen grenzüberschreitenden Transfer nach dem Gesetz zum Schutz personenbezogener Daten vorgenommen. Und wenn Ihre Organisation ein Betreiber kritischer Informationsinfrastruktur ist, verlangt das Cybersicherheitsgesetz nach Artikel 39 (vormals Artikel 37 — die Novelle des Cybersicherheitsgesetzes von 2025, in Kraft seit 1. Januar 2026, nummerierte den Datenlokalisierungsartikel von 37 auf 39 um, mit unveränderter Substanz), dass in China erzeugte personenbezogene Daten in China gespeichert werden, eine Pflicht, die eine Region außerhalb Chinas nicht erfüllen kann.

Was OneStream hält, sind personenbezogene Daten — und einiges davon ist sensibel

Eine Konsolidierungsplattform ist kein neutraler Verkehr. OneStream ist das System of Record für das Geld des Konzerns: es nimmt Rohbilanzen und Journale von jeder Tochter auf, betreibt den Abschluss und die Abstimmungen, konsolidiert die Ergebnisse und erzeugt die Budgets, Prognosen und die Zahlen, die in regulatorische und Investoren-Einreichungen einfließen. Vieles davon sind personenbezogene Daten — die Mitarbeitenden, die die Journale und Freigaben besitzen, die Rechtspersonen- und Direktorendaten und die Lieferanten- und Gegenparteidatensätze, die mit Intercompany- und Verbindlichkeitsdetail mitreiten. Lieferanten- und Mitarbeiter-Bankkontonummern und Steueridentifikatoren sind Finanzkonto-Informationen, die PIPL als sensible personenbezogene Daten (敏感个人信息) behandelt: ihre Verarbeitung erfordert einen bestimmten Zweck und einen Nachweis der Notwendigkeit, eine gesonderte Einwilligung und vorab eine Folgenabschätzung zum Schutz personenbezogener Daten — Pflichten, die sich auf die Grenz-Pflichten stapeln, nicht an deren Stelle treten.

Es gibt hier eine zweite Art von Sensibilität, die kommerziell statt personenbezogen ist: eine nicht freigegebene Konsolidierung ist wesentliche nicht öffentliche Information. Wo diese Zahlen ruhen, wer sie erreichen kann und unter welchem Rechtsverfahren welchen Landes sie erzwungen werden können, sind Fragen auf Vorstandsebene für sich. OneStreams Sicherheitssteuerungen — Verschlüsselung, Tenant-Isolation und die ISO-27001-, SOC-1- und SOC-2-Audits seiner Anbieter — reduzieren das Sicherheitsrisiko wirklich, aber sie entledigen nicht der Einwilligungs-, Notwendigkeits- und Residency-Pflichten, die bei Ihnen als Verarbeiter personenbezogener Daten sitzen.

Zu verengen, was überquert, schließt die Tür nicht

Der Instinkt ist, die Exponierung mit Hebeln innerhalb OneStream zu reduzieren: die nächste Region wählen, weniger Felder offshore pushen, vor dem Verlassen maskieren oder aggregieren oder — wo OneStream ein selbstverwaltetes Deployment unterstützt — die Anwendung auf einer Infrastruktur betreiben, die Sie kontrollieren. Jedes davon verändert, was und wie viel die Grenze überquert, und das ist es wert, getan zu werden. Was keines davon verändert, ist, dass in China erhobene Datensätze weiterhin außerhalb des Festlands zur Ruhe kommen: Singapur und Hongkong sind so offshore wie Frankfurt oder Virginia, eine „nähere” Asien-Pazifik-Region bereitzustellen verlagert den Transfer also, statt ihn zu lösen, und inländische Infrastruktur ist nicht dasselbe wie Compliance, es sei denn, das China-residente Fundament wird bewusst gewählt und die Rechtsgrundlage ist vorhanden.

In China erhobene Konsolidierungs-, Abschluss- und Mitarbeiterdaten im Inland zu halten bedeutet, ein China-residentes Fundament für die Datensätze aufzustellen, die bleiben müssen, und an OneStream außerhalb Chinas nur zu senden, was rechtmäßig gehen darf — oberhalb der regulierten Schwellen, nach einer Datenausfuhr-Sicherheitsbewertung, wo eine erforderlich ist. Jede China-gerichtete Oberfläche, die Sie um den Stack exponieren, trägt außerdem eine ICP-Beian-Pflicht. Welche Pflichten Ihr Deployment tatsächlich treffen — welcher Transfermechanismus, ob Sie ein Betreiber kritischer Informationsinfrastruktur sind, welche Felder sensibel sind, was Ihre Einwilligung und Benachrichtigung sagen müssen — ist ein Risiko, das mit Ihrem Rechtsbeistand gegen das zu klären ist, was Sie sammeln und wo Ihre Rechtspersonen und Menschen sitzen; diese Seite kartiert die Exponierung, sie liefert kein Urteil.

Der rechtmäßige Pfad — kartieren, lokalisieren, ausliefern

Es gibt einen rechtskonformen Weg, Corporate Performance Management für einen China-Betrieb zu betreiben, und er hat drei Züge. Zuerst kartieren: unser China-Team arbeitet Ihre PIPL-Exponierung durchgängig durch — welche Konsolidierungs-, Abschluss-, Planungs- und Mitarbeiterdaten, die in China erhoben werden, im Land bleiben müssen, was rechtmäßig zu OneStream überqueren darf, wo eine Datenausfuhr-Sicherheitsbewertung oder eine Artikel-39-Speicherpflicht gilt, welche Felder sensibel sind und was Ihre Einwilligung und Benachrichtigung abdecken müssen. Die rechtlichen Schlussfolgerungen werden mit Ihrem Rechtsbeistand geklärt; wir bauen das technische Bild, das sie speist.

Dann lokalisieren: wir helfen, ein eingewilligtes, China-residentes Fundament für die China-Datensätze aufzustellen und zu integrieren, die auf dem Boden des Festlands bleiben müssen — einschließlich eines selbstverwalteten, inländischen Deployment-Musters, wo OneStream eines unterstützt — sodass diese Datensätze aufhören, das Land standardmäßig zu verlassen, während Sie OneStream für die Rechtspersonen und Märkte behalten, in denen es Ihnen bereits dient.

Dann ausliefern: die China-gerichteten Oberflächen um Ihren Finanz-Stack — ein Reporting- oder Offenlegungsportal, ein Freigabe- oder Intake-Workflow, die Integrations-Edge, die Ihre Nutzer auf dem Festland erreichen — sind öffentliche Dienste auf dem Festland und brauchen rechtskonforme, inländische Auslieferung auf ICP-eingereichter Infrastruktur. 21YunBox liefert sie im Inland — den 21YunBox Optimizer — vor dem, was Sie bereits betreiben, ohne Neuaufbau und ohne zweite Codebasis. 21YunBox ist ein rechtskonformes Overlay, keine Migration, und ein Partner der Plattformen, die Sie bereits lizenzieren, kein Konkurrent zu ihnen. 21YunBox nutzt oder empfiehlt niemals eine Umgehung jeglicher Art. Das Ergebnis ist ein Finanz-Stack, der für Ihre Nutzer in China legal und rechtskonform läuft.

Compliance-Einschätzung anfordern →

Weiterführend:

• Grenzüberschreitende Datentransfers nach PIPL
• Chinas Datenausfuhr-Sicherheitsbewertung
• Chinas Cybersicherheitsgesetz (Datenlokalisierung, Artikel 39)
• Wie man eine ICP-Beian für China erhält

Verwandte Technologien

Anaplan

Anaplan

BILL

BILL

BlackLine

BlackLine

Expensify

Expensify

Oracle EPM Cloud

Oracle EPM Cloud

Ramp

Ramp

Tipalti

Tipalti

Workiva

Workiva