Funktioniert RSA Archer in China? Risiko-, Audit- und Compliance-Datensätze, PIPL und Datenresidenz
Archer (vormals RSA Archer) betreibt sein integriertes Risiko-und-Compliance-SaaS auf AWS in den USA, Europa, Australien und Asia Pacific — später VAE, Indien und Kanada — ohne Festland-China-Region. Das macht die Risikoregister, Audit-Belege und Ethik-Fallakten, die es für chinesische Nutzer hält, zu einem grenzüberschreitenden Transfer nach PIPL. Ein Blick zuerst auf die Compliance: die Datenresidenz-Exponierung.
Funktioniert RSA Archer in China?
Ob Sie Archer (vormals RSA Archer) für Festlandchina betreiben können, ist eine Datenresidenzfrage, keine Erreichbarkeitsfrage — die Konsole öffnet, aber die Risiko-, Audit- und Fallakten, die sie hält, kommen im Ausland zur Ruhe.
Archer SaaS läuft auf Amazon Web Services in den USA, Europa, Australien und der Asia-Pacific-Region — später erweitert auf die VAE, Indien und Kanada, aber ohne Festland-China-Region. Die Risikoregister, Kontroll- und Audit-Belege, Drittanbieter-Vertragsdatensätze und Ethik- oder Ermittlungs-Fallakten, die es für Ihre chinesischen Nutzer und Mitarbeiter hält, sind also ein grenzüberschreitender Transfer personenbezogener Daten nach PIPL — einiges davon (Vorwürfe über identifizierbare Personen) potenziell sensible personenbezogene Information nach Art. 28 — mit einer inländischen Speicherpflicht für CIIOs und Verarbeiter großer Mengen, die eine Offshore-Region nicht erfüllen kann. Dies ist eine Risikokarte, kein Urteil: Klären Sie die Einzelheiten mit Rechtsbeistand.
Compliance-Momentaufnahme
- ! Risiko-, Audit- & Vertragsdatensätze kommen im Ausland auf AWS zur Ruhe (USA / EU / APAC)
- ! Es ist die PI Ihrer China-Nutzer & -Mitarbeiter, die die Grenze überquert — PIPL gilt
- ! Ethik- & Ermittlungs-Fallakten können sensible personenbezogene Daten nach PIPL Art. 28 sein
- ✕ Es gibt keine Festland-China-Archer-SaaS-Region zu wählen
- ! CIIO / Verarbeiter großer Mengen schulden inländische Speicherung, die Archer SaaS nicht bieten kann
- ✓ Rechtmäßiger Weg: den Transfer kartieren, lokalisieren, was bleiben muss, über ICP-gemeldete Infra ausliefern
Was die offizielle Archer-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| Archers eigene Darstellung legt seinen SaaS-Fußabdruck außerhalb Festlandchinas. In seiner Pressemitteilung zur Erweiterung seiner SaaS-Infrastruktur gibt Archer an, dass „Archer SaaS is currently available in the US, Europe, Australia and throughout the Asia Pacific region“, gebaut „in conjunction with Amazon Web Services (AWS)“. Es hat seither VAE-, Indien- und Kanada-Regionen hinzugefügt — nennt aber keine Festland-China-Region, es gibt also keine inländische Archer-Ressource, auf der Ihre Risiko-, Audit- und Fallakten leben könnten. | Archer — “Archer Announces Plans to Extend SaaS Infrastructure”, May 25, 2022 |
| Archer kann on-premises oder selbstverwaltet betrieben werden, nicht nur als Offshore-SaaS. Archers Produktseiten beschreiben, es „on-premises or SaaS, without a costly migration or rebuild“ zu deployen. Diese On-Prem- oder selbstverwaltete Option ist der echte Residenz-Hebel: Sie lässt die Datensätze, die auf Festlandboden bleiben müssen, im Inland gehalten werden — eine Wahl, die Archers Offshore-SaaS-Regionen von sich aus nicht bieten können. | Archer — SaaS IRM product page, retrieved 2026-10-10 |
| Diese Datensätze ins Ausland zu exportieren, ist ein grenzüberschreitender Transfer nach PIPL. In China erhobene und in Archers Offshore-Regionen gespeicherte personenbezogene Information ist ein grenzüberschreitender Transfer: Der Verarbeiter personenbezogener Daten — Sie, der Archer-Kunde, nicht Archer — muss Mitteilung erteilen, gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung) nach PIPL Art. 38–40. | Personal Information Protection Law of the PRC, Articles 38–40 |
| Für CIIOs und Verarbeiter großer Mengen müssen die Daten in China bleiben. Personenbezogene Information und wichtige Daten, die von einem Betreiber kritischer Informationsinfrastruktur erhoben werden, müssen im Festland gespeichert werden (Cybersicherheitsgesetz Art. 39 (vormals Art. 37); PIPL Art. 40), und ihr Export kann eine verpflichtende CAC-Datenexport-Sicherheitsbewertung auslösen — Pflichten, die eine Offshore-SaaS-Region nicht erfüllen kann. | Cybersecurity Law of the PRC, Article 39 (formerly Article 37); PIPL Article 40 |
Quellen vom 21YunBox Compliance-Team am 10. Oktober 2026 geprüft.
Für ein Festlandchina-Publikum ist die Frage zu Archer — der integrierten Risiko-und-Compliance-Plattform, vormals als RSA Archer verkauft — nicht, ob die Konsole öffnet. Sie tut es. Die Frage ist, wo die Datensätze, die sie führt, zur Ruhe kommen dürfen. Archer ist das System of Record für Enterprise-Risikoregister, Kontrollbibliotheken und Richtlinienausnahmen, Audit-Belege und Arbeitspapiere, Vorfall- und Issue-Fallakten, Drittanbieter- und Vendor-Risikobewertungen und die Gegenpartei- und Unterzeichnerdetails in den Verträgen, die sie verfolgt — und, wo die Ethik- und Ermittlungsfähigkeit eingeschaltet ist, Berichte und Fallnotizen, die identifizierbare Personen nennen. All das ist personenbezogene Information, einiges davon sensibel. Nach Archers eigener Darstellung läuft sein SaaS auf Amazon Web Services in den USA, Europa, Australien und der Asia-Pacific-Region — später erweitert auf die VAE, Indien und Kanada — ohne Festland-China-Region. Diese Datensätze sitzen also im Ausland, und das ist eine Datenresidenz- und Grenzfrage nach Chinas Recht, lange bevor es je eine Performance-Frage ist.
Archer in China auf einen Blick
| Worüber es entscheidet | In Archers eigenen Worten — und Chinas Recht |
|---|---|
| Wo die Datensätze leben | Archer gibt an, dass „Archer SaaS is currently available in the US, Europe, Australia and throughout the Asia Pacific region“, gebaut „in conjunction with Amazon Web Services (AWS)“, mit späteren VAE-, Indien- und Kanada-Regionen. Keine ist innerhalb Festlandchinas, die Risikoregister, Audit-Belege und Fallakten, die es hält, sitzen also im Ausland. |
| Was es hält, und warum es personenbezogen ist | Risiko- und Kontroll-Owner, Auditoren, Vorfall- und Issue-Beteiligte und die Gegenpartei- und Unterzeichnerdetails in verfolgten Verträgen sind alle personenbezogene Information. Wo die Ethik- oder Ermittlungsfähigkeit läuft, tragen Fallakten Vorwürfe über identifizierbare Personen — potenziell sensible personenbezogene Information nach PIPL Art. 28. |
| Die Daten Ihrer China-Nutzer und -Mitarbeiter | In China erhobene und in Archers Offshore-Regionen gehaltene personenbezogene Information ist ein grenzüberschreitender Transfer. Der Verarbeiter — Sie, der Archer-Kunde, nicht Archer — schuldet Mitteilung, gesonderte Einwilligung und einen Transfermechanismus (PIPL Art. 38–40). |
| Inländische Speicherpflicht | Ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen muss in China erhobene personenbezogene Information im Festland speichern (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)), und der Export kann eine verpflichtende CAC-Sicherheitsbewertung auslösen — Pflichten, die eine Offshore-Region nicht erfüllen kann. |
| Erreichbarkeit ist nicht die Achse | Das Dashboard lädt von innerhalb Chinas, aber das ist die Auslieferungshälfte, nicht die rechtliche. Eine auf China ausgerichtete Archer-Oberfläche, tatsächlich vom Festland bedient — ein Risikoportal, eine Attestierungskampagne, ein Drittanbieter-Intake-Formular oder eine Ethik-Hotline — braucht eine ICP-Beian, gebunden an eine Festland-Hosting-Ressource, die Archer nicht bietet. |
Keine Festland-Region, die Risiko- und Audit-Datensätze verlassen also das Land
Archers Geografie klärt zwei separate Fragen, bevor Performance je ins Bild kommt. In seiner eigenen Pressemitteilung gibt das Unternehmen an, dass „Archer SaaS is currently available in the US, Europe, Australia and throughout the Asia Pacific region“, gebaut auf Amazon Web Services; es hat diesen Fußabdruck seither in die VAE, Indien und Kanada erweitert, eigens um „store data that must remain in-country“. Das ist das Anzeichen: Archer stellt inländische Regionen auf, wo die Souveränitätsregeln eines Marktes es verlangen — und es hat keine für Festlandchina aufgestellt.
Erstens, Residenz. Sind Sie ein Betreiber kritischer Informationsinfrastruktur oder ein Verarbeiter großer Mengen, muss in China erhobene personenbezogene Information im Festland gespeichert werden nach PIPL Art. 40 und dem Cybersicherheitsgesetz Art. 39 (vormals Art. 37) — die Cybersicherheitsgesetz-Novelle 2025, in Kraft seit 1. Januar 2026, hat den Datenlokalisierungsartikel von 37 auf 39 umnummeriert, inhaltlich unverändert. Eine Offshore-Archer-Region kann diese Pflicht nicht erfüllen, egal welche Lokalität Sie wählen, und wichtige Daten aus dem Land zu bewegen, kann eine CAC-Datenexport-Sicherheitsbewertung verlangen, bevor es überhaupt erlaubt ist.
Zweitens, der Exportmechanismus. Ihre Risiko-, Audit- und Fallakten in einer Offshore-Region zu halten, ist ein grenzüberschreitender Transfer personenbezogener Daten nach PIPL: Der Verarbeiter muss Mitteilung erteilen, gesonderte Einwilligung einholen und einen Weg erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung (Art. 38–40). Die Plattform, die Sie einsetzten, um gute Governance zu dokumentieren, erledigt nicht die Pflicht, die an dem haftet, wo ihre eigenen Datensätze dann leben.
Risikoregister, Audit-Belege und Fallakten sind personenbezogene Information — einiges davon sensibel
Die Exponierung ist strukturell, nicht beiläufig. Archers Aufgabe ist es, die einzige Quelle der Wahrheit dafür zu sein, wie eine Organisation Risiko und Compliance managt — was bedeutet, dass es personenbezogene Information von Natur aus ansammelt: die Namen, Rollen und Kontaktdetails von Risiko- und Kontroll-Ownern, Auditoren und Attestierungs-Respondenten; die Identitäten von Personen, die in Vorfällen und Issues genannt werden; und die Gegenpartei- und Unterzeichnerdetails in den Drittanbieterverträgen, die es verfolgt.
Wo Sie auch Archers Ethik-, Issue-Management- oder Ermittlungsfähigkeit betreiben, steigt die Sensibilität. Diese Fallakten halten Vorwürfe über identifizierbare Einzelne und können Finanzverhalten oder Gesundheit berühren — die Kategorie, die PIPL Art. 28 als sensible personenbezogene Information behandelt, die eine eigene gesonderte Einwilligung, eine nachgewiesene Erforderlichkeit und eine Folgenabschätzung zum Schutz personenbezogener Daten verlangt, mit verschärfter Sorgfalt, wenn sie eine Grenze überquert. Das Tool, das eine Organisation annimmt, um Compliance zu betreiben, kann also still eine PIPL-Exponierung eigenen Rechts schaffen: Die sensibelsten Datensätze, die es hält, sind genau die, die im Ausland zur Ruhe kommen. Ob ein bestimmtes Deployment diese Schwelle erreicht, hängt davon ab, welche Archer-Fähigkeiten Sie eingeschaltet haben und was sie erfassen.
Die Exponierung zu verengen schließt die Tür nicht
Es gibt echte Hebel, und sie sind es wert, genutzt zu werden — aber sie ändern was überquert oder wo es sitzt, nicht dass ein Transfer geschieht. Feldebenen-Redaktion und Maskierung verkleinern, wie viel personenbezogene Information in einer Offshore-Region landet. Falldaten zu pseudonymisieren senkt die Sensibilität dessen, was geht. Die nächste Archer-Region zu wählen trimmt Latenz. Archer kann auch „on-premises or SaaS, without a costly migration or rebuild“ deployt werden, und diese On-Prem- oder selbstverwaltete Option ist der eine Hebel, der Residenz wirklich bewegt — weil sie zulässt, dass die Datensätze, die auf Festlandboden bleiben müssen, im Inland gehalten werden statt in einem Offshore-Paar.
Was keine davon tut, ist, eine Festland-Präsenz aus einer Offshore-SaaS-Region zu fertigen: Regionswahl unter Überseelokalitäten ist weiterhin Übersee, und ein Feld zu maskieren, ändert nicht das Land, in dem der Datensatz ruht. Residenz und das ICP-Beian-Fundament für jede vom Festland bediente Oberfläche sind unberührt davon, wie viel Sie redigieren. Dies ist eine Risikokarte, kein Urteil — ob Sie gesonderte Einwilligung, einen Transfermechanismus, inländische Speicherung, eine CAC-Sicherheitsbewertung, eine ICP-Beian oder eine Kombination schulden, hängt von Ihrer Gesellschaft, Ihren Datenmengen, Ihrer Rolle als Verarbeiter und davon ab, wer Ihre Nutzer sind, und es ist mit Rechtsbeistand zu klären, bevor Sie sich darauf verlassen.
Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern
Sie betreiben Archer weiter. 21YunBox fügt den Teil hinzu, den eine Offshore-SaaS-Plattform strukturell nicht kann, als rechtskonformes Overlay, gesetzt vor den Stack, den Sie bereits betreiben — keine Migration weg von Archer und, für eine Enterprise-GRC-Plattform, ein Partner statt ein Konkurrent.
- Kartieren. Unser China-Compliance-Team liest die PIPL-Grenz-, Datenresidenz- und Sensible-PI-Pflichten — und alle CII- und ICP-Pflichten — gegen Ihre Gesellschaft, Ihre Datenmengen und wer Ihre Nutzer und Mitarbeiter sind, sodass Sie genau wissen, welche Archer-Datensätze exponiert sind und warum.
- Lokalisieren. Für die Datensätze, die auf Festlandboden bleiben müssen, stellen wir mit Einwilligung versehene, inländische Verarbeitung und Speicherung auf — einschließlich selbstgehostetem oder selbstverwaltetem Archer-Deployment, wo Sie es so betreiben — sodass Residenz an der Quelle erfüllt wird, nicht weg-angenommen.
- Ausliefern. Jede auf China ausgerichtete Archer-Oberfläche — ein Risikoportal, eine Attestierungs- oder Richtlinien-Anerkennungskampagne, ein Drittanbieter-Intake-Formular, eine Ethik-Hotline — wird über ICP-gemeldete, inländische Auslieferung (den 21YunBox Optimizer) bedient, vor dem System, das Sie bereits betreiben, ohne Neuaufbau und ohne zweite Codebasis.
21YunBox verwendet oder empfiehlt niemals eine Umgehung welcher Art auch immer. Das Ergebnis ist ein Archer-Setup, das legal und rechtskonform für Ihre Nutzer in China läuft.
Compliance-Einschätzung anfordern →
Weiterführend:
- Wie Sie eine ICP-Beian für China erhalten
- Grenzüberschreitende Datentransfers nach PIPL
- Chinas Maßnahmen zur Sicherheitsbewertung von Datenexporten
- Chinas Cybersicherheitsgesetz — Datenlokalisierung
Häufige Fragen
Speichert Archer (RSA Archer) meine China-Daten in Festlandchina?
Nein. Nach Archers eigener Darstellung läuft sein SaaS auf AWS in den USA, Europa, Australien und der Asia-Pacific-Region — später VAE, Indien und Kanada — und nennt keine Festland-China-Region. Die Risikoregister, Audit-Belege, Vertragsdatensätze und Fallakten, die es für Ihre chinesischen Nutzer und Mitarbeiter hält, sitzen daher im Ausland, was sie zu einem grenzüberschreitenden Transfer personenbezogener Daten nach PIPL macht: Der Verarbeiter (Sie, nicht Archer) schuldet Mitteilung, gesonderte Einwilligung und einen Transfermechanismus.
Archer ist ein Compliance-Tool — wie kann es in China ein Compliance-Risiko sein?
Weil Chinas Regeln sich darum drehen, wo die Daten leben, nicht wofür das Tool da ist. Genau die Plattform, die Sie einsetzen, um Risiko und Compliance zu managen, hält Risikoregister, Audit-Arbeitspapiere und — wo die Ethik- oder Ermittlungsfähigkeit eingeschaltet ist — Berichte, die identifizierbare Personen nennen, einige davon können sensible personenbezogene Information nach PIPL Art. 28 sein. In einer Offshore-Region gespeichert, sind diese Datensätze genau der grenzüberschreitende Transfer, den PIPL regelt. Behandeln Sie es als eine mit Rechtsbeistand durchzuarbeitende Exponierung; ein GRC-Tool zu betreiben, nimmt die personenbezogene Information, die es sammelt, nicht von Chinas Transfer- und Residenzregeln aus.
Können wir Archer behalten und für China trotzdem rechtskonform sein?
Ja. 21YunBox ist ein rechtskonformes Overlay, keine Migration: Sie betreiben Archer weiter. Unser China-Team kartiert die PIPL-Grenz-, Datenresidenz- und Sensible-PI-Pflichten gegen Ihre Gesellschaft, Datenmengen und Nutzer; lokalisiert die Datensätze, die auf Festlandboden bleiben müssen (einschließlich selbstgehostetem oder selbstverwaltetem Archer, wo Sie es so betreiben); und liefert jede auf China ausgerichtete Archer-Oberfläche über ICP-gemeldete, inländische Infrastruktur aus, vor dem Stack, den Sie bereits betreiben.
