Funktioniert Oracle EPM Cloud in China? Finanzdaten-Residency, MNPI & PIPL-Grenztransfer
Oracle EPM Cloud ist vom Festland China aus erreichbar, Residency, nicht Geschwindigkeit, ist also die Frage. Oracle Fusion Cloud EPM läuft auf Oracle Cloud Infrastructure, die „keine Rechenzentren in China" hat, die Budgets, konsolidierten Ergebnisse und Abschlussdaten, die Ihre China-Rechtsperson einspeist, ruhen also offshore — ein grenzüberschreitender Transfer nach PIPL. Ein Compliance-zuerst-Blick auf die Residency-, MNPI- und Sensible-PI-Exponierung und den rechtmäßigen inländischen Pfad.
Funktioniert Oracle EPM Cloud in China?
Für eine Finanzplattform ist die China-Frage nicht, ob das Dashboard öffnet — das tut es — sondern wo die Zahlen, die es hält, ruhen dürfen, und Oracle EPM Cloud hält sie offshore.
Oracle Fusion Cloud EPM läuft auf Oracle Cloud Infrastructure, und Oracles eigene Cloud Hosting and Delivery Policies sagen, es habe „no data centers in China", die Budgets, Prognosen, konsolidierten Ergebnisse, Steuer- und Abschlussdaten, die Ihre China-Rechtsperson einspeist, kommen also in einer Offshore-OCI-Region zur Ruhe (Tokyo, Osaka, Seoul, Singapur, Mumbai oder Sydney). Vieles davon ist wesentliche nicht-öffentliche Information, getragen zusammen mit personenbezogenen Daten von Mitarbeitern, Genehmigern und Geschäftspartnern — das Erheben in eine Offshore-EPM ist also ein grenzüberschreitender Transfer (数据出境) nach PIPL (Artikel 38–40: Benachrichtigung, eine gesonderte Einwilligung und ein Transfermechanismus). Wo Mitarbeiterlohn oder Bank- und Steueridentifikatoren damit reisen, ist das sensible personenbezogene Information (Artikel 28); bei Volumen, oder wo konsolidierte Konzerndaten „wichtige Daten" sind, kann es Chinas Datenausfuhr-Sicherheitsbewertung auslösen; und für einen Betreiber kritischer Informationsinfrastruktur müssen in China erzeugte Daten in China bleiben (PIPL Artikel 40; Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37)). Oracles inländische Dedicated Region- und Cloud@Customer-Modelle regeln, wo die Bytes sitzen, nicht ob die Verarbeitung rechtmäßig ist.
Dies ist eine Risikokarte, kein Urteil — was Sie schulden, hängt von Ihrer Rechtsperson, Ihren Datenmengen und Ihrer Rolle als Verarbeiter ab, und es ist wert, mit Rechtsbeistand geklärt zu werden. 21YunBox kartiert die Exponierung, lokalisiert die China-EPM-Daten, die bleiben müssen, auf eine China-residente Grundlage und liefert Ihre China-gerichteten Oberflächen im Inland auf ICP-eingereichter Infrastruktur aus. Unser China-Team kann Ihre Exponierung kartieren →
Compliance-Momentaufnahme
- ✕ Es existiert keine Festlandchina-Region zur Auswahl. Oracles eigene Cloud Hosting and Delivery Policies sagen, „APAC" decke „the Asia-Pacific geography, except China as Oracle has no data centers in China" ab, und Oracles EPM-Cloud-Regionenliste nennt nur Offshore-Geografien — eine Standard-EPM-Instanz für Ihre China-Rechtsperson wird also offshore bereitgestellt.
- ! Was EPM hält, macht das hochriskant. Budgets, Prognosen, der Abschluss des Hauptbuchs, konsolidierte Konzernergebnisse und Steuer-/Abschlussdaten sind wesentliche nicht-öffentliche Informationen, getragen mit personenbezogenen Daten von Mitarbeitern, Genehmigern und Geschäftspartnern, und gehalten in einer Offshore-OCI-Region (Tokyo, Osaka, Seoul, Singapur, Mumbai oder Sydney).
- ! Das Erheben von China-EPM-Daten in eine Offshore-Region ist ein grenzüberschreitender Transfer (数据出境) nach PIPL (Artikel 38–40): Benachrichtigung, eine gesonderte Einwilligung und ein Transfermechanismus — eine CAC-Sicherheitsbewertung, der CAC-Standardvertrag oder eine Zertifizierung. Die Pflicht ist die Ihrer China-Rechtsperson, nicht Oracles.
- ! Sensibilität und Volumen erhöhen die Messlatte. Wo Mitarbeiterlohn oder Bank- und Steueridentifikatoren damit reisen, ist das sensible personenbezogene Information (PIPL Artikel 28); bei Volumen, oder wo konsolidierte Finanzdaten „wichtige Daten" sind, kann Chinas Datenausfuhr-Sicherheitsbewertung gelten; für einen Betreiber kritischer Informationsinfrastruktur müssen in China erzeugte Daten in China bleiben — PIPL Artikel 40 und Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37).
- ! Oracle bietet zwar inländische Infrastruktur an — doch das ist keine Compliance. OCI Dedicated Region und Cloud@Customer können Oracle-verwaltete Infrastruktur in eine Einrichtung innerhalb eines Landes stellen, doch Oracles veröffentlichte EPM-Dedicated-Regionen nennen keinen China-Standort, und selbst ein inländischer Aufbau lässt die PIPL-Grenz- und Einwilligungspflichten, und die ICP-Beian für jede China-gerichtete EPM-Oberfläche, bei Ihnen.
- ✓ Der rechtmäßige Pfad: die China-EPM-Daten, die bleiben müssen, auf eine China-residente Grundlage stellen, der Offshore-EPM nur senden, was rechtmäßig gehen darf, EPM als Ihr globales System of Record für den Rest behalten und jede China-gerichtete EPM-Oberfläche im Inland auf ICP-eingereichter Infrastruktur ausliefern — rechtmäßige, inländische Auslieferung, niemals ein Weg um Chinas Datenausfuhrregeln herum.
Was die offizielle Oracle EPM Cloud-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| Oracle sagt unverblümt, es habe keine Rechenzentren in China. Oracles eigene Cloud Hosting and Delivery Policies definieren die Hosting-Geografie für seine Cloud-Dienste und sagen, „APAC" beziehe sich auf „the Asia-Pacific geography, except China as Oracle has no data centers in China", und „Your Content will be stored in the Data Center Region applicable to such Services." Oracle Fusion Cloud EPM wird aus demselben Oracle-Cloud-Infrastructure-Footprint ausgeliefert, es gibt also keine Festlandchina-Region, um Ihre China-EPM-Daten zu hosten. | Oracle, “Oracle Cloud Hosting and Delivery Policies” (Effective September 2026; Version 3.13), OVERVIEW section, page 4 — abgerufen 2026-10-10 |
| Oracles eigene EPM-Cloud-Regionenliste enthält keine Festlandchina-Region. Oracles Fusion-Cloud-EPM-Regionen-Dokumentation leitet ihre Tabelle mit „The following table lists the Oracle Fusion Cloud Enterprise Performance Management geographical regions" ein, und ihre Asien-Pazifik-Einträge sitzen nur in Australien, Indien, Japan, Singapur und Südkorea — die nächsten zum Festland sind Tokyo, Osaka, Seoul, Singapur, Mumbai und Sydney, keine innerhalb Chinas. Ihre Dedicated- und Air-Gapped-Regionen-Realms nennen ebenfalls keinen China-Standort, ein inländischer Oracle-Aufbau ist also ein kundenseitiges Projekt, keine Region, die Sie aus einem Standard-EPM-Abonnement auswählen. | Oracle Fusion Cloud EPM — Geographical Regions and Identifiers (docs.oracle.com), abgerufen 2026-10-10 |
| Das Halten von China-EPM-Daten in einer Offshore-Region ist ein grenzüberschreitender PIPL-Transfer — und ein Teil davon ist sensibel. Die Finanz- und personenbezogenen Datensätze, die eine China-Rechtsperson in eine Offshore-Oracle-Region einspeist, sind ein grenzüberschreitender Transfer nach PIPL Artikel 38–40: Benachrichtigung, eine gesonderte Einwilligung und ein Transfermechanismus — eine CAC-Sicherheitsbewertung, der CAC-Standardvertrag oder eine Zertifizierung. Wo Mitarbeiterlohn oder Bank- und Steueridentifikatoren mit dem Abschluss reisen, ist das als sensible personenbezogene Information behandelte Finanzinformation (Artikel 28), die einen spezifischen Zweck, eine gesonderte Einwilligung und eine vorherige Folgenabschätzung für personenbezogene Informationen (Artikel 55) hinzufügt. | Personal Information Protection Law of the PRC, Articles 28, 38–40 and 55 (cac.gov.cn), abgerufen 2026-10-10 |
| Für manche Verarbeiter müssen die Daten in China bleiben — und konsolidierte Finanzdaten können die Ausfuhrbewertung von sich aus auslösen. Wo der Verarbeiter ein Betreiber kritischer Informationsinfrastruktur ist, müssen in China erzeugte Daten auf dem Festland gespeichert werden (PIPL Artikel 40; Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37)) — eine Pflicht, die eine Offshore-EPM-Region nicht erfüllen kann — und konsolidierte Konzernfinanzdaten können als „wichtige Daten" behandelt werden, die Chinas Datenausfuhr-Sicherheitsbewertung unabhängig von der Mitarbeiterzahl tragen. Jede China-gerichtete EPM-Berichts- oder Datenerhebungs-Oberfläche, die aus dem Inneren des Festlands bedient wird, muss eine ICP-Beian tragen (State Council Order No. 292; MIIT Order No. 33). | PIPL Article 40; Cybersecurity Law Article 39 (formerly Article 37); Measures for the Security Assessment of Data Exports; State Council Order No. 292; MIIT Order No. 33 (npc.gov.cn), abgerufen 2026-10-10 |
Quellen vom 21YunBox Compliance-Team am 10. Oktober 2026 geprüft.
Gefragt, ob Oracle EPM Cloud in China „funktioniert”, ist der erste Instinkt eines Finanzteams, zu prüfen, ob Planer in Shanghai die Anwendung öffnen können — und das können sie: Oracle Fusion Cloud EPM (der Cloud-Nachfolger der On-Premises-Hyperion-Suite, die Oracle 2007 übernahm) ist browserbasiertes SaaS und an der Grenze nicht blockiert. Erreichbarkeit ist also nicht, wo die China-Entscheidung getroffen wird. Was sie klärt, ist Data Residency — wo die Zahlen, die EPM hält, zur Ruhe kommen und ob es rechtmäßig war, sie dorthin zu bewegen. Und EPM hält die sensibelsten Zahlen, die ein Unternehmen hat: Budgets und Prognosen, den Hauptbuch-Abschluss, Abstimmungen, konsolidierte Konzernergebnisse und Steuer- und statutarisches Reporting — nicht freigegebene Ergebnisse, die wesentliche nicht öffentliche Information sind, verbunden mit den personenbezogenen Daten der Mitarbeiter, Genehmiger und Gegenparteien, die daran hängen. Oracle betreibt diese Plattform auf Oracle Cloud Infrastructure und beantwortet die Geografie-Hälfte der Frage in seinem eigenen Vertrag.
Oracle EPM Cloud in China auf einen Blick
| Was es entscheidet | In Oracles eigenen Worten — und Chinas Recht |
|---|---|
| Wo leben die EPM-Datensätze? | Offshore. Oracles eigene Cloud Hosting and Delivery Policies erklären, dass es „no data centers in China" hat, und dass „Your Content will be stored in the Data Center Region applicable to such Services." Oracles EPM-Cloud-Regionsliste benennt nur Geografien außerhalb Chinas — die nächsten zum Festland sind Tokio, Osaka, Seoul, Singapur, Mumbai und Sydney — eine Standard-EPM-Instanz für Ihre China-Rechtsperson sitzt also im Ausland. |
| Was es hält — und warum es personenbezogen und material ist | EPM ist das System of Record für das Geld: Budgets und Prognosen, der Ledger-Abschluss, Abstimmungen und Journalbuchungen, konsolidierte Konzernergebnisse und Steuer- und statutarisches Reporting. Vieles davon ist wesentliche nicht öffentliche Information, und es trägt personenbezogene Daten — Workforce-Planning-Mitarbeiter- und Vergütungsdaten, Ersteller- und Genehmiger-Identitäten, Lieferanten- und Gegenpartei-Kontakte. Wo Mitarbeitervergütung oder Bank- und Steueridentifikatoren damit reisen, ist das Finanzinformation, die sensible personenbezogene Daten sein kann (PIPL Artikel 28); konsolidierte Konzernfinanzen im Maßstab können als „wichtige Daten" behandelt werden. |
| China-Daten hineinzusetzen = ein grenzüberschreitender Transfer | China-stammende Finanz- und Personendatensätze in einer EPM-Region außerhalb Chinas zu halten ist ein grenzüberschreitender Transfer (数据出境) nach PIPL (Artikel 38–40): Benachrichtigung, eine gesonderte Einwilligung und ein Transfermechanismus — eine CAC-Sicherheitsbewertung, der CAC-Standardvertrag oder eine Zertifizierung. Die Pflicht sitzt auf dem Verarbeiter — Ihrer China-Rechtsperson — nicht auf Oracle dem Auftragsverarbeiter. |
| Inländische Speicherpflicht | Im Maßstab, oder wo konsolidierte Finanzen „wichtige Daten" sind, kann eine CAC-Datenausfuhr-Sicherheitsbewertung (数据出境安全评估) gelten, bevor irgendetwas verlässt. Für einen Betreiber kritischer Informationsinfrastruktur müssen in China erzeugte Daten auf dem Festland gespeichert werden — PIPL Artikel 40 und Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37); die Novelle des Cybersicherheitsgesetzes von 2025, in Kraft seit 1. Januar 2026, nummerierte den Datenlokalisierungsartikel von 37 auf 39 um, Substanz unverändert — eine Pflicht, die eine EPM-Region außerhalb Chinas nicht erfüllen kann. |
| Erreichbarkeit ist nicht die Achse | EPM ist browserzugegriffenes SaaS, das aus OCI-Regionen bedient wird, und an der Grenze nicht blockiert; grenzüberschreitender Zugriff aus dem Festland kann inkonsistent sein, aber das ist operativ, nicht die China-Entscheidung. Jede China-gerichtete EPM-Oberfläche, die tatsächlich auf dem Festland bedient wird — ein Reporting- oder Datenerfassungsportal, ein Planungs-Eingabeformular — ist dort ein öffentlicher Dienst und trägt eine ICP-Beian-Pflicht (备案), die an eine Hosting-Ressource auf dem Festland gebunden ist. |
Keine Festland-Oracle-Region — Ihre EPM-Zahlen ruhen also offshore
Oracle Fusion Cloud EPM wird aus Oracle Cloud Infrastructure ausgeliefert, und Ihre Daten leben in welcher OCI-Region auch immer Ihr Service bereitgestellt wurde. Oracles eigene Cloud Hosting and Delivery Policies sind über diese Geografie deutlich: „With respect to Your ordered Oracle Cloud Services, Your Content will be stored in the Data Center Region applicable to such Services,” und, diese Region definierend, „‘APAC’ refers to the Asia-Pacific geography, except China as Oracle has no data centers in China.” Oracles EPM-spezifische Regionsdokumentation bestätigt es — sie führt ihre Liste mit „The following table lists the Oracle Fusion Cloud Enterprise Performance Management geographical regions” ein, und über die Asien-Pazifik-Zeilen, die folgen — in Australien, Indien, Japan, Singapur und Südkorea — ist keine auf dem Festland China; die nächsten zum Festland sind Tokio, Osaka, Seoul, Singapur, Mumbai und Sydney.
Die Schlussfolgerung ist also strukturell, kein Tuning-Problem: eine EPM-Instanz, die Ihre China-Rechtsperson bedient, wird offshore gehostet, weil Oracle nirgends auf dem Festland bietet, sie zu hosten. Die Budgets und Prognosen, der Abschluss und die Abstimmungen und die konsolidierten Ergebnisse, die Ihre China-Operationen in EPM einspeisen, kommen alle in einem anderen Land zur Ruhe. Das ist die Tatsache, von der jede China-Compliance-Frage über EPM ausgeht — und sie ist geklärt, bevor Performance jemals diskutiert wird. Dasselbe OCI-Fundament außerhalb Chinas treibt unsere Lesart von EPMs Fusion-Suite-Geschwistern, Oracle Fusion Cloud ERP und Oracle HCM Cloud.
Was EPM hält, ist materielle — und personenbezogene — Information
Sobald die Daten offshore sind, entscheidet ein anderer Rechtskörper, ob sie dorthin gehen durften. Die Datensätze, die eine China-Rechtsperson in EPM einspeist — die lokale Rohbilanz und der Abschluss, die Budgets und Prognosen der Rechtsperson, die Zahlen, die in konsolidierte Konzernergebnisse aufrollen — sind personenbezogene Daten nach Chinas Gesetz zum Schutz personenbezogener Daten in dem Maße, in dem sie die Identitäten von Mitarbeitern, Erstellern, Genehmigern, Lieferanten und Gegenparteien tragen, und sie in eine EPM-Instanz zu laden, die in Japan, Singapur oder den USA gehostet wird, ist ein grenzüberschreitender Transfer (数据出境). PIPL legt die Pflicht auf den Verarbeiter — Ihre China-Rechtsperson, nicht Oracle den Auftragsverarbeiter: Artikel 38–40 erfordern Benachrichtigung, eine gesonderte Einwilligung für den Überseetransfer und einen Transfermechanismus — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung.
EPM erhöht den Einsatz auf eine Weise, wie es die meisten Anwendungen nicht tun, wegen dessen, was die Zahlen sind. Nicht freigegebene Ergebnisse, Prognosen und Abschlussdaten sind wesentliche nicht öffentliche Information: kommerziell sensibel vor der Offenlegung, und die Art von Daten, deren vorzeitige oder unkontrollierte Bewegung die eigenen Offenlegungskontrollen eines börsennotierten Konzerns verhindern sollen. Zu Menge und Klassifizierung können konsolidierte Finanzdaten für eine beträchtliche China-Operation selbst als „wichtige Daten” behandelt werden, was Chinas Datenausfuhr-Sicherheitsbewertung (数据出境安全评估) trägt, unabhängig davon, wie viele Einzelpersonen beteiligt sind. Und zur Sensibilität: in dem Maße, in dem Workforce Planning Vergütung auf Mitarbeiterebene aufnimmt, oder Bank- und Steueridentifikatoren mit dem Abschluss und den Abstimmungen reisen, ist das Finanzinformation, die als sensible personenbezogene Daten nach PIPL Artikel 28 behandelt wird, was die Schwelle auf einen bestimmten Zweck, eine gesonderte Einwilligung und eine Folgenabschätzung zum Schutz personenbezogener Daten (Artikel 55) hebt. Welche davon Ihr spezifisches Deployment treffen, dreht sich um Ihren Sektor, Ihre Datenmengen und Ihre Rolle nach chinesischem Recht — kein Urteil, dass EPM „blockiert” oder „illegal” ist.
Die Exponierung zu verengen schließt die Tür nicht
Es ist verlockend, das Residency-Problem als etwas zu behandeln, das Sie innerhalb EPM wegtechnisieren können, und die Hebel, die wie Lösungen aussehen, verändern meist was die Grenze überquert, nicht dass es überquert. Sie können nur aggregierte Salden zur Konzernkonsolidierung hochpushen, Identifikatoren redigieren, bevor sie reisen, oder eine nähere OCI-Region bereitstellen — alles solide Datenminimierung, und alles wert, getan zu werden — aber die Datensätze, die Ihre China-Rechtsperson in EPM hält, kommen weiterhin im Ausland zur Ruhe, die Residency-Position ist also unverändert. EPMs funktionale China-Lokalisierungen sind dieselbe Geschichte: chinesische statutarische und Steuerkonfigurationen verändern, wie die Software sich verhält, nicht wo die Daten sitzen.
Oracles inländische Infrastruktur verdient zum selben Punkt ein ehrliches Gehör. Oracle betreibt durchaus Dedicated-Region- und Cloud@Customer-Modelle, die Oracle-verwaltete Infrastruktur innerhalb der eigenen Einrichtung eines Kunden platzieren — aber Oracles veröffentlichte EPM-Dedicated- und Air-Gapped-Region-Realms benennen keinen Festlandchina-Standort, und ein solches Deployment ist ein kundenplatziertes Infrastrukturprojekt, keine Region, die Sie aus einem Standard-EPM-Abonnement auswählen. Wichtiger für eine Compliance-Seite: selbst wo eine Organisation ein inländisches Oracle-Fundament aufstellt, klärt das, wo die Bytes sitzen — nicht, ob die Verarbeitung rechtmäßig ist. Wenn irgendwelche China-Daten weiterhin von diesem System zu einem globalen EPM außerhalb Chinas für die Konzernkonsolidierung fließen, ist dieser Fluss ein grenzüberschreitender Transfer für sich; die Einwilligungs- und Inländische-Speicherungs-Pflichten — Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37) und PIPL Artikel 40 — knüpfen an die Daten an, unabhängig vom Rack, auf dem sie leben; und die ICP-Beian (备案) für jede China-gerichtete EPM-Reporting- oder Datenerfassungsoberfläche verschwindet nicht. Inländische Hardware ist eine notwendige Bedingung für Residency; sie ist nie eine hinreichende für Compliance. Nichts davon ist ein Urteil — es ist eine Risikokarte: welche Pflichten Ihren EPM-Fußabdruck tatsächlich treffen, dreht sich um Ihre Rechtsperson, Ihre Datenmengen und wer Ihre Nutzer sind, und die Einzelheiten sind es wert, mit Ihrem eigenen Rechtsbeistand gegen das, was Ihre EPM-Instanz wirklich hält, geklärt zu werden.
Der rechtmäßige Pfad — kartieren, lokalisieren, ausliefern
Es gibt einen rechtskonformen Weg, EPM für eine China-Operation zu betreiben, und er hat eine Form. Zuerst kartieren: unser China-Team arbeitet die Residency- und Grenz-Exponierung durch, die Ihr EPM-Deployment trägt — welche Finanz- und Personendatensätze, die Ihre China-Rechtsperson erzeugt, im Land bleiben müssen, was rechtmäßig für globale Planung und Konsolidierung gehen darf, wo eine Datenausfuhr-Sicherheitsbewertung oder eine Artikel-39- (vormals Artikel-37-)Speicherpflicht gilt und was Ihr Benachrichtigungs-, Einwilligungs- und Folgenabschätzungsfluss abdecken muss. Die rechtlichen Schlussfolgerungen werden mit Rechtsbeistand geklärt; wir bauen das technische Bild, das sie speist.
Dann lokalisieren: wir helfen Ihnen, die China-EPM-Daten, die bleiben müssen, auf ein China-residentes Fundament zu setzen — eine eingewilligte, inländische Heimat für die Datensätze, die Ihre Festland-Rechtsperson im Land halten muss — während EPM Ihr globales System of Record für Planung und Konsolidierung überall sonst bleibt und nur das empfängt, was rechtmäßig die Grenze überqueren darf. Wo ein inländisches Oracle-Deployment die richtige Passung ist, helfen wir Ihnen, es für das zu wägen, was es ist: ein Residency-Fundament, keine Compliance-Abkürzung.
Dann ausliefern: die China-gerichteten Oberflächen dieses Stacks — die Reporting-Dashboards, die Planungs- und Datenerfassungsformulare, die Ihre Finanznutzer auf dem Festland tatsächlich öffnen — brauchen rechtskonforme, inländische Auslieferung, und ein öffentlich ausgerichteter Dienst auf dem Festland trägt eine ICP-Beian-Pflicht. Der 21YunBox Optimizer liefert sie im Inland, vor dem, was Sie bereits betreiben, ohne Neuaufbau und ohne Re-Platforming. Das Ergebnis ist ein EPM-Fußabdruck, der für Ihre Nutzer in China legal und rechtskonform läuft. 21YunBox ist ein rechtskonformes Overlay, keine Migration, und ein Partner der Plattform, die Sie bereits betreiben, kein Konkurrent zu ihr — wir halten im Inland, was das Recht sagen muss, dass es bleibt, liefern den Rest rechtskonform aus dem Inneren des Festlands und kartieren, lokalisieren und liefern über rechtmäßige, ICP-eingereichte Infrastruktur. 21YunBox nutzt oder empfiehlt niemals eine Umgehung jeglicher Art.
Compliance-Einschätzung anfordern →
Weiterführend:
- Grenzüberschreitende Datentransfers nach PIPL
- Chinas Datenausfuhr-Sicherheitsbewertung
- Chinas Cybersicherheitsgesetz (Datenlokalisierung, Artikel 39)
- Wie man eine ICP-Beian für China erhält
Häufige Fragen
Ist Oracle EPM Cloud im Festland China verfügbar?
Als Software, ja — Oracle Fusion Cloud EPM ist eine browserbasierte SaaS-Anwendung, die Ihr China-Finanzteam erreichen kann, und sie ist an der Grenze nicht blockiert, Verfügbarkeit ist also nicht das Hindernis. Die eigentliche Frage ist Data Residency: Oracles eigene Cloud Hosting and Delivery Policies sagen, es habe „no data centers in China", und EPM läuft auf derselben Oracle Cloud Infrastructure, es gibt also keine Festlandchina-Region, um Ihre China-EPM-Daten zu hosten — sie ruhen in einer Offshore-Region wie Tokyo, Osaka, Seoul oder Singapur. Grenzüberschreitender Zugriff aus dem Festland kann zudem inkonsistent sein, aber das ist operativ, nicht die Entscheidung. Behandeln Sie die Einzelheiten als ein mit Rechtsbeistand zu bestätigendes Risiko.
Erzeugt das Betreiben von Oracle EPM Cloud offshore einen grenzüberschreitenden Datentransfer nach PIPL?
Wenn Ihre EPM-Instanz in irgendeiner OCI-Region bereitgestellt wird — die alle außerhalb des Festlands liegen — dann werden die Budgets, Prognosen, konsolidierten Ergebnisse, Steuer- und Abschlussdaten, die Ihre China-Rechtsperson einspeist, zusammen mit den personenbezogenen Daten von Mitarbeitern, Genehmigern und Geschäftspartnern, die sie tragen, offshore gespeichert, was ein grenzüberschreitender Transfer (数据出境) nach PIPL ist. Das bedeutet Benachrichtigung, eine gesonderte Einwilligung und ein Transfermechanismus (eine CAC-Sicherheitsbewertung, der CAC-Standardvertrag oder eine Zertifizierung). Wo Mitarbeiterlohn oder Bank- und Steueridentifikatoren vorhanden sind, behandelt Artikel 28 das als sensible personenbezogene Information; bei Volumen, oder wo konsolidierte Konzerndaten „wichtige Daten" sind, kann Chinas Datenausfuhr-Sicherheitsbewertung gelten; und für einen Betreiber kritischer Informationsinfrastruktur fügen Cybersicherheitsgesetz Artikel 39 (vormals Artikel 37) und PIPL Artikel 40 eine inländische Speicherpflicht hinzu, die eine Offshore-Region nicht erfüllen kann. Bestätigen Sie Ihre genauen Pflichten mit Rechtsbeistand.
Oracle bietet eine inländische Dedicated Region — löst die Wahl einer solchen nicht die China-Data-Residency für EPM?
Sie löst nur die Hälfte der Frage. Ein Dedicated-Region- oder Cloud@Customer-Deployment kann Oracle-verwaltete Infrastruktur in eine Einrichtung in einem bestimmten Land stellen — doch Oracles veröffentlichte EPM-Dedicated- und Air-Gapped-Regionen nennen keinen China-Standort, und ein solcher Aufbau ist ein kundenseitiges Infrastrukturprojekt, keine Region, die Sie aus einem Standard-EPM-Abonnement auswählen. Wichtiger noch: Infrastruktur ist keine Compliance: wenn irgendwelche China-Daten weiterhin von diesem System zu einer globalen, Offshore-EPM für die Konzernkonsolidierung fließen, ist dieser Fluss selbst ein grenzüberschreitender Transfer nach PIPL, und die Einwilligungspflichten und die ICP-Beian für eine China-gerichtete EPM-Oberfläche bleiben. Inländische Hardware ist eine notwendige Bedingung für Residency, niemals eine hinreichende für rechtmäßige Verarbeitung — eine Position, die mit Rechtsbeistand zu klären ist.
