Funktioniert Payload CMS in China? Selbstgehostetes Deployment, Datenresidenz, PIPL und ICP
Payload CMS ist Open Source und selbst zu deployen, daher ist es in Festlandchina nicht gesperrt — seine eigene Dokumentation sagt, es „can be deployed anywhere that Next.js can run“. Das macht das Wo Ihres Deployments zur Compliance-Frage: Ein Content-, Konten- und Collection-PII-Speicher, den Sie im Ausland betreiben, ist ein grenzüberschreitender Transfer nach PIPL, und die auf China ausgerichtete Site, die er antreibt, braucht eine ICP-Beian, die an inländisches Hosting gebunden ist. Ein Blick zuerst auf die Compliance: die Exponierung bei Datenresidenz und ICP — und das inländische Deployment, das Ihren Payload-Stack rechtmäßig hält.
Funktioniert Payload CMS in China?
Payload ist Open Source und Sie deployen es selbst, also ist es kein Dienst, den China sperrt — seine eigene Dokumentation sagt, es „can be deployed anywhere that Next.js can run“ (kann überall deployt werden, wo Next.js läuft). Genau deshalb ist die China-Frage nicht, ob es lädt: Es ist, wo Sie es deployen.
Payload hält Ihre Content-Collections, Ihre Redakteurs- und Admin-Konten und alle personenbezogenen Daten, die Ihre Collections modellieren — in einer Datenbank, die Sie bereitstellen. Deployen Sie diese Datenbank im Ausland (eine Managed-Option oder Ihre eigene US- oder EU-Cloud), ruht jeder solche von Nutzern in Festlandchina erhobene Datensatz außerhalb des Landes — ein grenzüberschreitender Transfer (数据出境) nach PIPL (Art. 38–40: Mitteilung, eine gesonderte Einwilligung, ein Transfermechanismus), möglicherweise Chinas Sicherheitsbewertung des Datenexports auslösend. Für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen verlangt Art. 39 (vormals Art. 37) des Cybersicherheitsgesetzes, dass diese Daten im Festland bleiben, und die öffentliche Site, die Payload antreibt, braucht eine ICP-Beian, die an inländisches Hosting gebunden ist.
Weil Payload überall deployt, wo Next.js läuft, ist der rechtmäßige Weg eine Konfiguration, kein Neuaufbau: Deployen Sie Payload und seine Datenbank auf in China ansässiger, ICP-gemeldeter Infrastruktur, sodass Inhalte und Konten von vornherein im Inland bleiben, und behalten Sie Ihr Offshore-Deployment für andere Märkte. 21YunBox kartiert, lokalisiert und liefert aus — niemals irgendeine Form von Umgehung. Behandeln Sie die Einzelheiten als ein mit Rechtsbeistand zu bestätigendes Risiko. Unser China-Team kann Ihre Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ✓ Erreichbarkeit ist keine feste Eigenschaft: Payload ist Open Source und selbst zu deployen, läuft also dort, wo Sie es deployen — seine Dokumentation sagt, es sei „anywhere that Next.js can run“ (überall, wo Next.js läuft) deploybar. Die China-Frage ist, wo dieses Deployment liegt, nicht ob es lädt.
- ! Deployen Sie Payload im Ausland (eine Managed-Option oder Ihre eigene US- oder EU-Cloud), ruhen die Inhalte, Redakteurskonten und Collection-PII, die Sie von China-Nutzern erheben, außerhalb des Festlands — ein grenzüberschreitender Transfer (数据出境) nach PIPL (Art. 38–40): Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus.
- ! Für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen verlangt Art. 39 (vormals Art. 37) des Cybersicherheitsgesetzes, dass in China erhobene personenbezogene Daten im Festland gespeichert werden — eine Pflicht, die ein Offshore-Payload-Deployment nicht erfüllen kann.
- ! Die auf China ausgerichtete Site oder App, die Payload antreibt, ist ein öffentlicher Internetdienst im Festland, braucht also eine ICP-Beian, die an inländisches Hosting gebunden ist — woran ein Offshore-Deployment nichts im Festland anzubinden hat.
- ✓ Der rechtmäßige Weg ist Payload nativ: Weil es überall deployt, wo Next.js läuft, deployen Sie Payload und seine Datenbank auf in China ansässiger, ICP-gemeldeter Infrastruktur, sodass Inhalte und Konten von vornherein im Inland bleiben — und behalten Sie Offshore-Deployments für andere Märkte. Niemals Umgehung.
Was die offizielle Payload CMS-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| Payload wird selbst deployt, also ist das Wo Ihrer Daten Ihre Deployment-Entscheidung. Payloads eigene Dokumentation „Production Deployment“ gibt an, Payload „can be deployed anywhere that Next.js can run - including Vercel, Netlify, SST, DigitalOcean, AWS, and more“ (kann überall deployt werden, wo Next.js läuft — einschließlich Vercel, Netlify, SST, DigitalOcean, AWS und mehr) und „Because it's open source, you can self-host it“ (da es Open Source ist, können Sie es selbst hosten). Es ist kein gehosteter Dienst, den China an der Grenze sperrt — es läuft dort, wo Sie es deployen, was die China-Frage zu einer von Residenz und ICP macht, nicht von Geschwindigkeit. | Payload Docs — Production Deployment (payloadcms.com), abgerufen 2026-10-09 |
| Payload speichert Ihre Inhalte, Ihre Konten und Ihre Collection-PII in einer Datenbank, die Sie bereitstellen — der Standort dieser Datenbank ist die Residenzfrage. Seine Dokumentation gibt an, Payload arbeite mit „any Postgres database or MongoDB-compatible database including AWS DocumentDB or Azure Cosmos DB“ (jeder Postgres-Datenbank oder MongoDB-kompatiblen Datenbank, einschließlich AWS DocumentDB oder Azure Cosmos DB), und Sie müssten „make sure your production environment has access to the database that Payload uses“ (sicherstellen, dass Ihre Produktionsumgebung Zugriff auf die Datenbank hat, die Payload verwendet). Weil Payload eine eigene Authentifizierung mitbringt, hält diese Datenbank auch Ihre Redakteurs-/Admin-Konten — sodass ein im Ausland gehostetes Deployment all das außerhalb des Festlands hält. | Payload Docs — Production Deployment (payloadcms.com), abgerufen 2026-10-09 |
| In China erhobene personenbezogene Daten, die in einem Offshore-Payload gehalten werden, sind ein PIPL-Grenztransfer. Personenbezogene Daten, die von Nutzern in Festlandchina erhoben wurden, in ein in den USA oder der EU gehostetes Payload-Deployment zu bewegen, löst PIPL Art. 38–40 aus: Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. | Personal Information Protection Law of the PRC, Articles 38–40 (cac.gov.cn), abgerufen 2026-10-09 |
| Für manche Verarbeiter müssen die Daten in China bleiben, und die öffentliche Site schuldet immer eine ICP-Beian. Wo der Verarbeiter ein Betreiber kritischer Informationsinfrastruktur ist oder personenbezogene Daten in Menge bewegt, verlangt Art. 39 (vormals Art. 37) des Cybersicherheitsgesetzes, dass in China erhobene personenbezogene Daten im Festland gespeichert werden — was ein Offshore-Deployment nicht erfüllen kann — und jede öffentliche Site, die von innerhalb Chinas ausgeliefert wird, muss eine ICP-Beian (Erlass Nr. 292 des Staatsrats; MIIT-Erlass Nr. 33) tragen, die an eine Festland-Hosting-Ressource gebunden ist. | Cybersicherheitsgesetz der VR China, Art. 39 (vormals Art. 37) (cac.gov.cn); Erlass Nr. 292 des Staatsrats; MIIT-Erlass Nr. 33, abgerufen 2026-10-09 |
Quellen vom 21YunBox Compliance-Team am 9. Oktober 2026 geprüft.
Für ein Produkt, das auf Festlandchina zielt, löst sich die Payload-Frage nicht so auf wie bei einem gehosteten SaaS. Payload ist Open Source, und Sie deployen es selbst — seine eigene Dokumentation gibt an, es “can be deployed anywhere that Next.js can run”. Es ist also kein Dienst, den China an der Grenze sperrt; es läuft dort, wo Sie es laufen lassen. Genau deshalb ist die China-Entscheidung eine Compliance-Frage und keine Geschwindigkeitsfrage: Worauf es ankommt, ist, wo Sie Payload deployen, ob die Inhalte, die Redakteurskonten und die personenbezogenen Daten in seinen Collections innerhalb oder außerhalb des Festlands zur Ruhe kommen und ob die öffentliche Site, die es antreibt, auf Infrastruktur ausgeliefert wird, die ICP-gemeldet werden kann. Payloads eigene Dokumentation klärt die erste Hälfte davon; Chinas Recht klärt den Rest.
Payload CMS in China auf einen Blick
| Worüber es entscheidet | In Payloads eigenen Worten — und nach chinesischem Recht |
|---|---|
| Was es ist | Ein quelloffenes, selbst zu deployendes Headless-CMS und Anwendungsframework (Node.js und Next.js, auf einer Postgres- oder MongoDB-kompatiblen Datenbank, die Sie bereitstellen). Es speichert Ihre Content-Collections, Ihre Redakteurs- und Admin-Konten — Payload liefert eine eigene Authentifizierung — und alle personenbezogenen Daten, die Ihre Collections modellieren: Mitglieder, Formulareinreichungen, Kundendatensätze. |
| Erreicht es das Festland? | Es ist kein gehosteter Dienst, den China sperrt; es läuft dort, wo Sie es deployen. Payloads Dokumentation sagt, es „can be deployed anywhere that Next.js can run“ (kann überall deployt werden, wo Next.js läuft). Erreichbarkeit ist eine Eigenschaft Ihres Deployments, nicht von Payload — also nicht der Ort, an dem sich die China-Frage entscheidet. |
| Wo die Daten liegen | Dort, wo Sie Payload und seine Datenbank deployen. Deployen Sie im Ausland — eine Managed-Option oder Ihre eigene US- oder EU-Cloud — und die Inhalte, Konten und Collection-PII, die von China-Nutzern erhoben werden, ruhen alle außerhalb des Festlands. |
| China-PII in ein Offshore-Deployment erheben | Diese Datensätze sind personenbezogene Daten. Sie in einem Offshore-Payload zu halten, ist ein grenzüberschreitender Transfer (数据出境) nach PIPL (Art. 38–40): Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus. Für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen fügt Art. 39 (vormals Art. 37) des Cybersicherheitsgesetzes eine Inland-Speicherpflicht hinzu, die ein Offshore-Deployment nicht erfüllen kann. |
| Die Öffentlichkeit bedienen | Die auf China ausgerichtete Site oder App, die Payload antreibt, ist ein öffentlicher Internetdienst im Festland, braucht also eine ICP-Beian, die an inländisches Hosting gebunden ist (Erlass Nr. 292 des Staatsrats; MIIT-Erlass Nr. 33) — woran ein Offshore-Deployment nichts im Festland anzubinden hat. |
| Der rechtmäßige Weg | Weil Payload überall deployt, wo Next.js läuft, deployen Sie es und seine Datenbank auf in China ansässiger, ICP-gemeldeter Infrastruktur für die China-Gesellschaft, sodass Inhalte und Konten von vornherein im Inland bleiben; behalten Sie Offshore-Deployments für Ihre anderen Märkte. 21YunBox kartiert, lokalisiert und liefert aus — niemals irgendeine Form von Umgehung. |
Wo Ihre Daten liegen, ist eine Deployment-Entscheidung, kein Payload-Standard
Hier ist das Tor, das die meisten Teams übersehen, und es ist für ein Anwendungsframework schärfer als für ein gehostetes Tool. Payload ist kein Ort, an den Ihre Daten gehen; es ist Software, die Sie betreiben, auf einer Datenbank, die Sie bereitstellen. Seine Dokumentation ist ausdrücklich, dass Payload mit „any Postgres database or MongoDB-compatible database including AWS DocumentDB or Azure Cosmos DB“ (jeder Postgres-Datenbank oder MongoDB-kompatiblen Datenbank, einschließlich AWS DocumentDB oder Azure Cosmos DB) arbeitet und dass Sie „make sure your production environment has access to the database that Payload uses“ (sicherstellen müssen, dass Ihre Produktionsumgebung Zugriff auf die Datenbank hat, die Payload verwendet). Diese Datenbank ist, wo Ihre Content-Collections liegen — und, weil Payload eine eigene Authentifizierung mitbringt, auch, wo Ihre Redakteurs- und Admin-Konten liegen, neben allen personenbezogenen Daten, die Ihre Collections modellieren: Mitglieder, Formulareinreichungen, Kundendatensätze. Der Standort dieser einen Datenbank ist die gesamte Datenresidenzfrage.
Deployen Sie Payload und seine Datenbank im Ausland — auf einer Managed-Option oder Ihrer eigenen Cloud in den USA oder der EU — und jeder dieser von Nutzern in Festlandchina erhobenen Datensätze kommt außerhalb des Landes zur Ruhe. Nach Chinas Gesetz zum Schutz personenbezogener Daten ist das ein grenzüberschreitender Transfer (数据出境), und die Pflicht fällt auf den Verarbeiter — Sie, nicht Payload —, Mitteilung zu erteilen, eine gesonderte Einwilligung für den Transfer einzuholen und einen Transfermechanismus zu erfüllen: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung (PIPL Art. 38–40). Oberhalb bestimmter Schwellen oder wo die Daten „wichtige Daten“ sind, kann der Transfer auch Chinas Sicherheitsbewertung des Datenexports (数据出境安全评估) verlangen, bevor irgendetwas ausreist.
Und wenn Ihre Organisation ein Betreiber kritischer Informationsinfrastruktur ist oder personenbezogene Daten in Menge bewegt, verlangt Art. 39 des Cybersicherheitsgesetzes (vormals Art. 37 — die Datenlokalisierungsvorschrift wurde durch die Novelle 2025, in Kraft seit 1. Januar 2026, umnummeriert, inhaltlich unverändert), dass in China erzeugte personenbezogene Daten im Festland gespeichert werden. Ein Offshore-Payload-Deployment kann diese Pflicht, wie gut auch immer eingestellt, nicht erfüllen. Nichts davon hängt davon ab, wie schnell das Admin-Panel lädt; es hängt davon ab, wo die Daten sitzen und ob sie eine Rechtsgrundlage hatten, dort zu sein.
Die öffentliche Site, die Payload antreibt, braucht weiterhin eine ICP-Beian
Payload ist das Backend; das Frontend ist eine Site oder App, die Ihre Nutzer in China tatsächlich öffnen. Dieser öffentlich zugängliche Dienst ist, wo das zweite Tor sitzt. Eine Website oder Anwendung, die Festland-Besuchern von innerhalb Chinas ausgeliefert wird, muss eine ICP-Beian (ICP 备案) nach Erlass Nr. 292 des Staatsrats und MIIT-Erlass Nr. 33 tragen, und diese Meldung muss an eine Hosting-Ressource gebunden sein, die physisch im Festland liegt. Ein Offshore-Payload-Deployment — das Admin-Panel, die Content-API und das gerenderte Frontend, alle von außerhalb des Landes ausgeliefert — hat nichts im Festland, wogegen sich melden ließe, und von innerhalb Chinas kann ein im Ausland ausgeliefertes Frontend zudem ungleichmäßig laden. „Wir betreiben Payload schon“ trägt also nicht von allein über die Grenze: Das Content-Modell kann identisch sein, aber die Auslieferung und die Meldung müssen im Inland aufgebaut werden. Dies ist die Auslieferungshälfte der Frage, und sie stapelt sich auf die Residenzhälfte, statt sie zu ersetzen.
Der Beitritt zu Figma hat nicht geändert, wo Ihre Daten laufen
Ein Stück jüngerer Nachrichten ist zu klären, denn es ändert weniger, als es klingt. In einem Beitrag vom 17. Juni 2025 kündigte Payload an, es „joining Figma“ (schließe sich Figma an). Payload bleibt Open Source und selbst deploybar, und keine der obigen Tatsachen bewegt sich: Sie wählen weiterhin den Host und die Datenbank, und die Daten liegen weiterhin dort, wo Sie deployen. Die Übernahme ist ein Grund, die aktuellen Managed-Hosting-Details gegen Payloads eigene Dokumentation neu zu bestätigen, bevor Sie sich darauf verlassen — kein Grund, die Residenz- und ICP-Fragen als bereits beantwortet zu behandeln.
Dies ist eine Risikokarte, kein Urteil. Ob Sie eine gesonderte Einwilligung, einen Transfermechanismus, eine Datenexport-Bewertung, inländische Speicherung, eine ICP-Beian oder eine Kombination davon schulden, hängt von Ihrer Gesellschaft, Ihren Datenmengen, Ihrer Rolle als Verarbeiter nach chinesischem Recht und davon ab, wer Ihre Nutzer sind — alles am besten mit Rechtsbeistand zu klären, bevor Ihre China-Präsenz davon abhängt.
Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern
Es gibt einen rechtmäßigen Weg, Payload für ein auf China ausgerichtetes Produkt zu betreiben, und weil Payload überall deployt, wo Next.js läuft, ist der Weg ungewöhnlich sauber.
Zuerst kartieren: Unser China-Team arbeitet Ihre Exponierung an beiden Toren durch — die Pflichten zu Grenztransfer und Residenz, die an den Inhalten, Konten und Collection-PII hängen, die Payload hält, und die ICP-Pflicht an der öffentlichen Site, die es bedient — gegen Ihre Gesellschaft, Ihre Datenmengen und die Frage, wer Ihre Nutzer sind. Wir bauen das technische Bild; die rechtlichen Schlüsse werden mit Rechtsbeistand geklärt.
Dann lokalisieren: Wir stellen Payload und seine Datenbank auf in China ansässiger, ICP-gemeldeter Infrastruktur für Ihre China-Gesellschaft bereit, sodass die Inhalte, die Redakteurskonten und die personenbezogenen Daten, die Ihre Collections erfassen, von vornherein innerhalb des Festlands bleiben — während Sie Ihr Offshore-Payload-Deployment für die Märkte behalten, die es bereits bedient. Payloads eigene „deploy anywhere“-Natur ist, was dies zu einer Konfiguration macht, nicht zu einem Neuaufbau.
Dann ausliefern: Das auf China ausgerichtete Frontend wird im Inland auf ICP-gemeldeter Infrastruktur ausgeliefert — der 21YunBox Optimizer, gesetzt vor das, was Sie bereits betreiben, ohne Re-Platforming. Was wir niemals tun — und was niemand rechtmäßig kann — ist, Ihre Nutzer um Chinas Datenexportregeln oder um irgendeine Netzbeschränkung herumzuleiten; wir lokalisieren, was bleiben muss, und liefern es im Inland aus, und wir bewegen personenbezogene Daten niemals heimlich aus dem Festland. Das Ergebnis ist ein Payload-Stack, der für Ihre Nutzer in China rechtmäßig und rechtskonform läuft.
Compliance-Einschätzung anfordern →
Weiterführend:
- Grenzüberschreitende Datentransfers nach PIPL
- Chinas Sicherheitsbewertung des Datenexports
- Chinas Cybersicherheitsgesetz (Datenlokalisierung, Art. 39)
- So erhalten Sie eine ICP-Beian für China
Häufige Fragen
Ist Payload CMS in China gesperrt?
Nein. Payload ist kein gehosteter Dienst, den China an der Grenze sperrt — es ist quelloffene Software, die Sie selbst deployen, läuft also dort, wo Sie es laufen lassen. Deshalb ist Erreichbarkeit nicht die China-Frage. Was sie entscheidet, ist, wo Sie Payload und seine Datenbank deployen: Ein im Ausland gehostetes Deployment hält die Inhalte, Konten und Collection-PII Ihrer China-Nutzer außerhalb des Festlands, und die öffentliche Site, die es antreibt, braucht weiterhin eine ICP-Beian, die an inländisches Hosting gebunden ist. Behandeln Sie die Einzelheiten als ein mit Rechtsbeistand zu bestätigendes Risiko.
Wenn ich Payload auf einer Managed-Option oder meiner eigenen US-/EU-Cloud betreibe, ist das ein Problem für China-Nutzer?
Das kann es sein. Jedes Payload-Deployment außerhalb des Festlands hält die Inhalte, Redakteurskonten und personenbezogenen Daten, die Ihre Collections von China-Nutzern erheben, im Ausland, was ihre Erhebung zu einem grenzüberschreitenden Transfer nach PIPL macht (Mitteilung, eine gesonderte Einwilligung, ein Transfermechanismus) und möglicherweise zu einer Sicherheitsbewertung des Datenexports. Für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen fügt Art. 39 (vormals Art. 37) des Cybersicherheitsgesetzes eine Inland-Speicherpflicht hinzu, die ein Offshore-Deployment nicht erfüllen kann. Bestätigen Sie Ihre genauen Pflichten mit Rechtsbeistand.
Kann ich Payload behalten und in China dennoch rechtskonform sein?
Ja. Weil Payload überall deployt, wo Next.js läuft, können Sie Payload und seine Datenbank auf in China ansässiger, ICP-gemeldeter Infrastruktur für Ihre China-Gesellschaft deployen, sodass die Inhalte und Konten von vornherein im Inland bleiben — während Sie Ihr Offshore-Payload-Deployment für andere Märkte behalten. 21YunBox kartiert die Exponierung bei Grenztransfer und ICP, lokalisiert Payload auf rechtskonforme inländische Infrastruktur und liefert das auf China ausgerichtete Frontend im Inland aus — ohne Neuaufbau und niemals auf einem Weg um Chinas Datenexportregeln herum. Kontakt aufnehmen, um Ihren konkreten Fall durchzugehen.
