Funktioniert PocketBase in China? Datenresidenz, ICP und grenzüberschreitende Regeln

Was die offizielle PocketBase-Dokumentation über China sagt

Fakt	Primärquelle
In PocketBases eigenen Worten: es ist „completely portable“ (vollständig portabel) und „doesn't require any external dependency and could be deployed by just uploading the executable on your server“ (benötigt keine externe Abhängigkeit und könnte deployt werden, indem man einfach die ausführbare Datei auf den eigenen Server lädt). Es gibt keine PocketBase-verwaltete Cloud — seine FAQ sagt „PocketBase is self-hosted only“ (PocketBase ist nur selbstgehostet) —, es gibt also keine Anbieter-Region zur Wahl, und wo die Daten leben, ist ganz die Entscheidung des Betreibers: der Host, auf den Sie die einzige ausführbare Datei deployen.	PocketBase Docs — Going to production, and FAQ, abgerufen 2026-10-13
PocketBase speichert die Daten Ihrer Anwendung in einer eingebetteten SQLite-Datenbank, zusammen mit den Auth-/Kontodatensätzen Ihrer Nutzer und den Dateien, die sie hochladen, alles innerhalb eines pb_data-Verzeichnisses auf dem Server, auf dem Sie das Binary betreiben; nach dem Produktions-Guide umfassen seine gespeicherten Einstellungen sogar das „SMTP password and S3 storage credentials“ (SMTP-Passwort und die S3-Speicher-Zugangsdaten). Deployen Sie dieses Binary auf Offshore-Hosting, ruhen die personenbezogenen Daten Ihrer China-Nutzer — und diese Secrets — im Ausland; deployen Sie es im Inland, ruhen sie in China.	PocketBase Docs — Going to production (Backup and Restore; Enable settings encryption), abgerufen 2026-10-13
Weil Ihre PocketBase-Instanz die Konten, Datensätze und Dateien hält, die Sie von Nutzern in China erheben — personenbezogene Daten —, überträgt ihr Offshore-Hosting diese Daten ins Ausland. PIPL regelt diesen grenzüberschreitenden Transfer (Art. 38–40): Der Verarbeiter personenbezogener Daten — Sie, der Betreiber, nicht PocketBase — muss Mitteilung erteilen, gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung).	PIPL — cross-border transfer of personal information (Articles 38–40)
Für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen müssen in China erhobene personenbezogene Daten innerhalb des Festlands gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37) — die Novelle 2025, in Kraft seit 1. Januar 2026, hat den Datenlokalisierungsartikel von 37 auf 39 umnummeriert, inhaltlich unverändert). Ein Offshore-PocketBase-Deployment kann diese Pflicht nicht erfüllen; das Binary auf inländischer Infrastruktur zu betreiben, kann es, und eine öffentliche Festland-Oberfläche rechtmäßig aufzustellen, bringt eine ICP-Beian ins Bild.	Cybersecurity Law Article 39 (formerly Article 37); PIPL Article 40

Quellen vom 21YunBox Compliance-Team am 13. Oktober 2026 geprüft.

Für ein Festlandchina-Publikum ist die eigentliche Frage zu PocketBase nicht, ob es lädt oder wie schnell es antwortet — PocketBase ist ein Backend, das Sie selbst betreiben, das liegt also ganz in Ihrer Hand —, sondern, wo die Daten, die es hält, zur Ruhe kommen dürfen. PocketBase ist ein quelloffenes Backend, geliefert als eine einzige ausführbare Datei: Es hält die Datenbank Ihrer Anwendung, die Konten und Auth-Datensätze, die Ihre Nutzer erstellen, und die Dateien, die sie hochladen. Es gibt keine PocketBase-verwaltete Cloud; nach der eigenen FAQ des Projekts ist es „self-hosted only“ (nur selbstgehostet). Das ist der Compliance-Hebel und das Compliance-Risiko in einem — weil Sie den Server wählen, können Sie die Daten Ihrer chinesischen Nutzer auf chinesischem Boden halten, oder, wenn Sie auf Offshore-Hosting deployen, sie im Ausland lassen. Der antwortende Endpunkt ist die leichte Hälfte; wo die Daten gespeichert werden, ist die Hälfte, auf der das Gesetz beruht.

PocketBase in China auf einen Blick

Sie wählen, wo PocketBase läuft — Sie können die Daten also in China halten

Das Merkmal, das PocketBase von einem verwalteten Backend unterscheidet, ist auch, was es compliance-fähig macht: Sie installieren und betreiben es selbst. Nach seinem eigenen Produktions-Guide ist „one of the best PocketBase features is that it’s completely portable“ (eines der besten PocketBase-Merkmale ist, dass es vollständig portabel ist) — es „doesn’t require any external dependency and could be deployed by just uploading the executable on your server“ (benötigt keine externe Abhängigkeit und könnte deployt werden, indem man einfach die ausführbare Datei auf den eigenen Server lädt). Seine FAQ beschreibt dasselbe von der anderen Seite: PocketBase wurde gebaut, „to assist building self-contained applications that can run on a single server“ (um den Bau eigenständiger Anwendungen zu unterstützen, die auf einem einzigen Server laufen können), und antwortet auf die Frage, ob es Hosting anbiete, schlicht: „PocketBase is self-hosted only“ (PocketBase ist nur selbstgehostet). Mit anderen Worten: Ihr Backend kommt auf der einen Maschine zur Ruhe, auf die Sie das Binary setzen. Richten Sie diese Maschine auf inländische Infrastruktur, und Ihre Datenbank — und die personenbezogenen Daten darin — bleibt von Bauart her auf chinesischem Boden. Die Residenzfrage für PocketBase ist daher nicht „gibt es eine China-Region?“, sondern „haben wir es in China deployt?“.

Was PocketBase hält, sind personenbezogene Daten

PocketBase ist kein Cache oder Edge vor Ihren Daten — es ist Ihre Daten. Es speichert die Datensätze Ihrer Anwendung in einer eingebetteten SQLite-Datenbank, zusammen mit den Auth- und Kontodatensätzen, die Ihre Nutzer erstellen, und den Dateien, die sie hochladen, alles innerhalb eines einzigen pb_data-Verzeichnisses auf dem Server, auf dem es läuft. Für ein auf China ausgerichtetes Produkt bedeutet das, dass die personenbezogenen Daten von Menschen im Festland physisch dort leben. Halten Sie diese Instanz auf Offshore-Hosting, machen Sie nach Chinas Gesetz zum Schutz personenbezogener Daten einen grenzüberschreitenden Transfer: Der Verarbeiter — Sie, der Betreiber, nicht PocketBase — muss Mitteilung erteilen, gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen, sei es eine CAC-Sicherheitsbewertung, der CAC-Standardvertrag oder eine Zertifizierung (PIPL Art. 38–40). „Es ist nur ein Backend, das wir hosten“ klärt nichts davon; die Instanz zu erreichen und zur Speicherung der Daten chinesischer Nutzer darin freigegeben zu sein, sind verschiedene Fragen.

Die Secrets leben auf demselben Host

Es gibt eine zweite Exponierung, die eine Erreichbarkeitsprüfung nie sieht. Nach PocketBases Produktions-Guidance umfassen seine gespeicherten Anwendungseinstellungen das „the SMTP password and S3 storage credentials“ (SMTP-Passwort und die S3-Speicher-Zugangsdaten) — weshalb es einen optionalen Verschlüsselungsschlüssel dafür anbietet — und es kann die Anmeldung über die OAuth2-Anbieter vermitteln, die Sie aktivieren, deren Client-Secrets es ebenfalls hält. Der Host, den Sie wählen, trägt also nicht nur die Datensätze Ihrer Nutzer, sondern die Zugangsdaten, die PocketBase nutzt, um Ihre Mail- und Objektspeicher-Anbieter zu erreichen. Genau hier ist eine selbstgehostete Engine der Hebel statt der Nachteil: Anders als eine Offshore-Plattform, deren normaler Betrieb Ihre China-Daten über die Grenze zöge und Ihre Secrets im Ausland konzentrierte, hält PocketBase die regulierten Daten und diese Secrets zusammen an einem Ort, den Sie kontrollieren. Deployen Sie das Binary im Ausland, sitzen beide im Ausland; deployen Sie es im Inland, bleiben beide auf chinesischem Boden.

Wie viel auf dem Spiel steht, hängt von Ihrem Volumen und Ihrer Rolle ab

Das Gewicht dieser Pflichten ist nicht einheitlich. Nach den Grenzdaten-Bestimmungen der CAC vom März 2024 ist ein Verarbeiter, der kein Betreiber kritischer Informationsinfrastruktur ist und in einem Kalenderjahr die nicht sensiblen personenbezogenen Daten von weniger als 100.000 Personen bewegt, von der Sicherheitsbewertung, dem Standardvertrag und der Zertifizierung befreit — ein echt leichterer Pfad für eine kleine App. Am anderen Ende trägt ein CIIO oder Verarbeiter großer Mengen eine Datenresidenzpflicht: In China erhobene personenbezogene Daten müssen innerhalb des Festlands gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37) — die Novelle 2025, in Kraft seit 1. Januar 2026, hat den Artikel zur Datenlokalisierung von 37 auf 39 umnummeriert, inhaltlich unverändert). Kein Offshore-Host kann das erfüllen — und weil PocketBase selbstgehostet ist, ist der Ausweg eingebaut: Betreiben Sie das Binary auf Infrastruktur innerhalb des Festlands, und dieses Deployment rechtmäßig hinter einer öffentlichen Oberfläche aufzustellen, ist, was eine ICP-Beian ins Bild bringt.

Warum eine Erreichbarkeitsprüfung die eigentliche Frage verfehlt

Ein Festland-Nutzer kann eine im Ausland gehostete PocketBase-Instanz öffnen und nutzen, sodass ein Erreichbarkeits- oder Latenztest „funktioniert“ meldet. Doch Erreichbarkeit ist die Auslieferungshälfte, nicht die rechtliche Hälfte. Der Verstoß, den ein Verbindungstest nie sehen kann, ist, dass die regulierten Daten im Ausland gespeichert sind: Die SQLite-Datenbank, Auth-Datensätze, hochgeladenen Dateien und die gespeicherten S3-/SMTP-Zugangsdaten ruhen alle im Ausland, und eine Offshore-Instanz kann weder eine inländische Kopie der Daten halten, die eine Lokalisierungspflicht verlangt, noch die ICP-gemeldete Grundlage, die eine öffentliche Festland-Oberfläche braucht (Erlass Nr. 292 des Staatsrats; MIIT-Erlass Nr. 33). Die Instanz bloß erreichbar zu machen, beantwortet die Frage nicht; die Daten und Secrets im Inland zu speichern, tut es.

Dies ist eine Risikokarte, kein Urteil: Ob Sie einen Transfermechanismus, inländische Speicherung oder beides schulden, hängt von den Daten, die Sie halten, Ihren Mengen und davon ab, wessen es sind — am besten mit Rechtsbeistand zu klären, bevor Sie bauen.

Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern

Sie behalten PocketBase als Ihr Backend. Was 21YunBox hinzufügt, ist die Compliance-Schicht, für deren Bereitstellung es nie gedacht war, um den Stack herum angeordnet, den Sie bereits betreiben — kein Neuaufbau, keine zweite Codebasis, keine Migration weg von PocketBase.

• Kartieren. Unser China-Team inventarisiert, was Ihre PocketBase-Instanz hält (die SQLite-Datenbank, Auth- und Kontodatensätze, hochgeladene Dateien und die gespeicherten S3-/SMTP-/OAuth-Secrets) und wo das Binary läuft, und liest es dann gegen Ihre Pflichten bei PIPL-Grenztransfer, Datenresidenz und Datenlokalisierung (CII) und jede ICP-Pflicht.
• Lokalisieren. Wo das Gesetz verlangt, dass die Daten Ihrer China-Nutzer im Festland bleiben, helfen wir Ihnen, das PocketBase-Binary auf inländischer Infrastruktur zu betreiben, sodass das pb_data-Verzeichnis — und die Secrets damit — in China sitzen; mit Mitteilung nach Art. 13/23 und gesonderter Einwilligung und so wenig über die Grenze wie möglich. Lokalisieren heißt ein inländisches Deployment, kein Weg zurück zu einem Offshore-Endpunkt.
• Ausliefern. Jede auf China ausgerichtete Oberfläche vor Ihrem Backend — die App, der API-Edge, das Admin-Dashboard, das Ihre Festland-Nutzer erreichen — läuft über ICP-gemeldete, inländische Auslieferung (der 21YunBox Optimizer), vor dem inländischen PocketBase.

Das Ergebnis läuft für Ihre Nutzer in China rechtmäßig und rechtskonform. 21YunBox verwendet oder empfiehlt niemals eine Umgehung welcher Art auch immer. Wir sind eine rechtskonforme Overlay und eine Partnerin der Art, wie Sie bereits bauen, keine Konkurrentin und keine Migration.

Compliance-Einschätzung anfordern →

---

Weiterführend:

• Chinas Gesetz zum Schutz personenbezogener Daten (PIPL)
• Grenzüberschreitende Datentransfers nach PIPL
• Chinas Cybersicherheitsgesetz und Datenlokalisierung
• So erhalten Sie eine ICP-Beian für China

Häufige Fragen

Speichert PocketBase die Daten chinesischer Nutzer in China?

Das hängt ganz davon ab, wo Sie es deployen. PocketBase hat keine verwaltete Cloud — es ist ein selbstgehostetes Single-Binary, und seine FAQ sagt, es sei „self-hosted only“ (nur selbstgehostet) —, Ihre Daten leben also, wo immer Sie die ausführbare Datei betreiben. Deployen Sie es auf Offshore-Hosting, sitzen die SQLite-Datenbank, Auth-Datensätze und hochgeladenen Dateien im Ausland; deployen Sie es auf inländischer Infrastruktur, bleiben sie auf chinesischem Boden.

Ist es rechtswidrig, PocketBase in China zu nutzen?

Nicht von sich aus. Weil PocketBase selbstgehostet ist, ist an der Software selbst nichts Rechtswidriges — die Fragen sind, wo Sie es hosten und welche Daten es hält. Eine auf China ausgerichtete Instanz im Ausland zu hosten, macht einen grenzüberschreitenden Transfer personenbezogener Daten, den PIPL erlaubt, wenn Sie Mitteilung erteilen, gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen; ob Sie zusätzlich inländische Speicherung schulden, hängt von Ihrer Rolle (etwa ob Sie ein CIIO sind) und Ihren Datenmengen ab. Behandeln Sie es als ein mit Rechtsbeistand zu bewertendes Risiko, kein pauschales Verbot.

Kann 21YunBox helfen, unseren PocketBase-Stack in China rechtskonform zu machen?

Ja. Unser China-Team kann Ihre Grenztransfer- und Datenresidenz-Exponierung für Ihre Datenmengen und Rolle kartieren, Ihnen helfen, PocketBase auf inländischer Infrastruktur zu betreiben, sodass die Daten und ihre gespeicherten Secrets im Festland bleiben, und die ICP-gemeldete, inländische Auslieferung aufstellen, die eine öffentliche China-Oberfläche braucht. Nehmen Sie Kontakt auf, um Ihren konkreten Fall durchzugehen.