Funktioniert Salesforce Data 360 in China? Datenresidenz, ICP und Grenzregeln

Was die offizielle Salesforce Data 360 (Formerly Data Cloud)-Dokumentation über China sagt

Fakt	Primärquelle
Salesforces eigene „Salesforce on Alibaba Cloud“-Seite listet Sales Cloud, Service Cloud, die Salesforce Platform und das Connected Experiences Gateway als in China allgemein verfügbar — Data 360 / Data Cloud ist nicht darunter — und gibt an, dass globale Kunden globale Dienste nicht mehr aus Festlandchina heraus nutzen können.	Salesforce, "Salesforce on Alibaba Cloud" partner page (retrieved 2026-10-20)
Salesforces Plattform-/Infrastruktur-Seite gibt an, dass Salesforce Data 360 auf Hyperforce läuft, und listet seine Regionen als die USA, das UK, Deutschland, Indien und Japan — keine Festland-China-Region; es gibt keine Open-Source- oder selbstgehostete Edition von Data 360.	Salesforce, "Trusted Infrastructure / Hyperforce" platform page (retrieved 2026-10-20)
PIPL verlangt von einem Verarbeiter, Mitteilung zu erteilen, eine gesonderte Einwilligung einzuholen und einen Transfermechanismus zu erfüllen (CAC-Sicherheitsbewertung, CAC-Standardvertrag oder Zertifizierung), bevor personenbezogene Information ins Ausland gesendet wird (Art. 38–40), und Art. 24 verlangt, dass automatisierte Entscheidungen und Profiling transparent und ablehnbar sind, mit einer Option, nicht nach persönlichen Merkmalen angesprochen zu werden.	Personal Information Protection Law of the PRC, Articles 24 and 38–40 (retrieved 2026-10-20)
Chinas Cybersicherheitsgesetz verlangt von einem Betreiber kritischer Informationsinfrastruktur, im Festland erhobene personenbezogene Information innerhalb Chinas zu speichern — Art. 39 (vormals Art. 37) nach der Novelle 2025, in Kraft seit 1. Januar 2026, die den Lokalisierungsartikel inhaltlich unverändert umnummerierte.	Cybersecurity Law of the PRC, Article 39 (formerly Article 37) (retrieved 2026-10-20)

Quellen vom 21YunBox Compliance-Team am 20. Oktober 2026 geprüft.

Mit Salesforce Data 360 — der Customer Data Platform, die Salesforce von Data Cloud umbenannte — ist die Frage für ein Festlandchina-Publikum nicht, ob ein Endpunkt antwortet. Sie ist, wohin die Kundendaten gehen. Data 360 ist gebaut, um Events, Identitäten und Attribute aus jeder Quelle, die Sie verbinden, aufzunehmen und sie in ein einziges, einheitliches Kundenprofil aufzulösen, zusammengenäht von einem Identitätsgraphen — der identitätsträchtigste Pool personenbezogener Daten, den die meisten Unternehmen halten. Nach Salesforces eigener Dokumentation läuft diese Plattform auf Hyperforce, dessen Regionen die USA, das UK, Deutschland, Indien und Japan sind, ohne Region innerhalb Festlandchinas; Data 360 ist nicht unter den Clouds, die Salesforce auf Alibaba Cloud für China lokalisiert, und nach Salesforces eigenem Partnerhinweis können globale Kunden seine globalen Dienste nicht mehr aus Festlandchina heraus nutzen. In dem Moment, in dem Data 360 einen Nutzer in Shanghai aufnimmt, wird dessen personenbezogene Information also in ein wachsendes Offshore-Profil geschrieben, und automatisierte Entscheidungen darüber, was er sieht, werden daraus getroffen. Drei von Chinas Regeln greifen auf einmal: ein grenzüberschreitender Transfer (PIPL Art. 38–40), automatisierte Entscheidungsfindung und Profiling (Art. 24) und eine inländische Speicherpflicht für einen hochvolumigen Verarbeiter — nichts davon kann eine Erreichbarkeitsprüfung sehen.

Salesforces eigene „Salesforce on Alibaba Cloud“-Seite gibt an, dass „Global customers can no longer use global services within mainland China“, und lokalisiert in China nur Sales Cloud, Service Cloud, die Salesforce Platform und das Connected Experiences Gateway — Data 360 / Data Cloud ist nicht darunter. Salesforces eigene Infrastruktur-Seite listet separat Data 360s Hyperforce-Regionen als die USA, das UK, Deutschland, Indien, Japan und mehr, ohne eine Festland-China-Region zu nennen. (Quelle: Salesforce on Alibaba Cloud · Hyperforce infrastructure)

Salesforce Data 360 in China auf einen Blick

Was Sie tatsächlich senden — die Identitäten und das Verhalten Ihrer Nutzer

Data 360 ist gebaut, um zu vereinheitlichen, nicht um zu messen. Es nimmt die Verhaltens-Events, Identitäten und Attribute auf, die Sie über jeden Kanal erfassen — App- und Web-Events, Kunden- und Geräte-IDs, E-Mails und die benutzerdefinierten Merkmale, die Sie definieren — und seine Identitätsauflösungs-Engine näht sie in ein einziges Profil pro Person, verknüpft durch einen Identitätsgraphen. Was sich ansammelt, ist nicht eine Handvoll Metriken, sondern ein fortlaufend aktualisierter Datensatz, wer jeder Ihrer Nutzer ist und was er tut, über alle Quellen, die Sie verbinden. Für einen Festlandchina-Nutzer ist all das personenbezogene Information — und die präzisen Verhaltens- und Kontaktidentifikatoren können zu sensibler personenbezogener Information aufsteigen, die PIPL noch strenger bewacht. Das ist nahezu der maximale Fall, für den die Grenzregeln geschrieben wurden: ein dauerhafter, wachsender Offshore-Speicher der Identitäten und des Verhaltens Ihrer China-Nutzer, zusammengesetzt in ein Profil, das gebaut ist, um darauf gehandelt zu werden.

Es ist ein grenzüberschreitender Transfer — und eine automatisierte Entscheidung — nach PIPL

Wo dieses Profil lebt, ist, was eine Marketing-Plattform in eine Compliance-Exponierung verwandelt. Data 360 läuft auf Salesforces Hyperforce-Cloud — nach Salesforces eigener Plattform-Dokumentation sind seine Regionen die USA, das UK, Deutschland, Indien und Japan, ohne Festland-China-Region — und Data 360 ist nicht eine der Clouds (Sales, Service, Platform und das Connected Experiences Gateway), die Salesforce auf Alibaba Cloud für China lokalisiert. Nach Salesforces eigenem Partnerhinweis können globale Salesforce-Dienste nicht mehr aus Festlandchina heraus genutzt werden. Ein im Festland erfasster Nutzer wird also auf Server im Ausland geschrieben. Nach dem Gesetz zum Schutz personenbezogener Daten ist das ein grenzüberschreitender Transfer (数据出境), und der Verarbeiter — Sie, das Unternehmen, dessen App Data 360 speist, nicht Salesforce — muss Mitteilung erteilen, gesonderte Einwilligung für den Transfer einholen und einen Transfermechanismus erfüllen: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung (Art. 38–40).

Aber eine CDP fügt eine zweite, schärfere Pflicht hinzu, die die meisten Teams übersehen. Data 360 speichert das Profil nicht bloß; es löst Identitäten auf und segmentiert Nutzer, um zu entscheiden, was jede Person sieht — in welche Audience sie fällt, welche Experience und Botschaft ihr gezeigt wird. Ihre China-Nutzer aus ihrem Profil in Kohorten zu sortieren und ihre Experience zuzuschneiden, ist automatisierte Entscheidungsfindung und Profiling, was PIPL Art. 24 direkt regelt: Dem Einzelnen schulden Sie Transparenz und Fairness, einen Weg zur Ablehnung und — wo eine Entscheidung auf Profiling beruht — eine Option, nicht nach seinen persönlichen Merkmalen angesprochen zu werden.

Zwei weitere Pflichten laufen daneben. Verhaltens-Events zu erfassen, verlangt echte, gesonderte Einwilligung für das Tracking, keine vergrabene „by using this product…“-Klausel (PIPL Art. 13 und 23). Und weil das einheitliche Profil dauerhaft und wachsend ist, kann eine inländische Speicherpflicht gelten: Cybersicherheitsgesetz Art. 39 (vormals Art. 37) verlangt von einem Betreiber kritischer Informationsinfrastruktur oder einem hochvolumigen Verarbeiter, China-Personendaten im Festland zu halten — was Hyperforce-Regionen in den USA, dem UK, Deutschland, Indien oder Japan nicht erfüllen können. Jedes nachgelagerte Ziel, zu dem Data 360 das Profil weiterleitet, ist seinerseits ein eigener grenzüberschreitender Transfer, der zu berücksichtigen ist.

Den Endpunkt zu erreichen ist nicht die Frage — die Entscheidungsfindung im Inland zu halten, ist es

Data 360s Erfassungspunkt ist ein SDK, eine Aufnahme-API und Konnektoren, vom Festland aus können sie also langsam oder unzuverlässig sein — eine echte Auslieferungsfrage, aber die kleinere Hälfte. Die größere Hälfte ist, dass Data 360 ein verwalteter, proprietärer Dienst auf Hyperforce ist: Es gibt keine Open-Source- oder selbst-hostbare Edition, die Sie innerhalb Chinas aufstellen könnten, und keine Festland-China-Region zu wählen. Der rechtmäßige Hebel ist also nicht, den Offshore-Endpunkt erreichbar zu machen — es ist, das Profil-Bauen und die Nutzerdaten auf einem inländischen Pfad zu halten. In der Praxis heißt das, China-Nutzer durch eine lizenzierte inländische Customer-Data- oder Experimentier-Alternative zu leiten, sodass das Profil im Festland aufgelöst und gespeichert wird; zu minimieren und zu pseudonymisieren, was an Kontext noch gehen muss; die Art.-13/23-Einwilligung für das Tracking zu sichern; und das Art.-24-Recht zu ehren, Profiling abzulehnen und eine nicht-profilierte Experience zu erhalten. Was dies nicht ist, ist ein Pfad, der dieselbe personenbezogene Information ohnehin ins Ausland verschifft — die Leitung zu verlagern, verlagert nicht die Daten, und der Transfer und die automatisierte Entscheidung bleiben beide.

Dies ist eine Risikokarte, kein Urteil: Wie viel Exponierung Sie tragen, hängt davon ab, was Sie an Data 360 senden, was Sie mit dem Profil tun, Ihrer Rolle und Ihren Datenmengen und davon, wer Ihre Nutzer sind — die Einzelheiten mit Rechtsbeistand zu klären, bevor Sie in großem Umfang vereinheitlichen und personalisieren.

Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern

Data 360 bleibt Ihre Customer Data Platform; nichts migriert. Was 21YunBox hinzufügt, ist die Compliance-Schicht, die die CDP selbst nicht bietet, in drei Zügen.

Kartieren. Unser China-Team inventarisiert, was Ihre Data-360-Implementierung von Festland-Nutzern aufnimmt — die Identitäten, Events, Gerätesignale und Attribute — wo es aufgelöst und gespeichert wird, wie das einheitliche Profil genutzt wird, um zu entscheiden, was jeder Nutzer sieht, und die Einwilligungsgrundlage dahinter, und wägt dann die PIPL-Grenz- und Art.-24-Exponierung gegen Ihre Gesellschaft, Ihre Rolle und Ihre Datenmengen.

Lokalisieren. Wir halten das Profil-Bauen und die Nutzerdaten auf einem inländischen Pfad — eine lizenzierte inländische Customer-Data- oder Experimentier-Alternative für China-Nutzer, der Targeting-Kontext minimiert und pseudonymisiert, und das Art.-24-Opt-out geehrt — statt die Profile Ihrer China-Nutzer im Ausland aufzulösen. 21YunBox verwendet oder empfiehlt niemals eine Umgehung welcher Art auch immer.

Ausliefern. Die App oder Site, die auf diesen Entscheidungen läuft, trägt eine ICP-Beian-Pflicht und braucht rechtskonforme, inländische Auslieferung — den 21YunBox Optimizer, platziert vor dem Stack, den Sie bereits betreiben, kein Neuaufbau und keine zweite Codebasis.

Das Ergebnis ist Salesforce Data 360, das legal und rechtskonform für Ihre Nutzer in China läuft: Das einheitliche Profil und die Entscheidungsfindung bleiben auf einem rechtmäßigen inländischen Fundament, und die Grenz-, Einwilligungs- und Residenzlücken werden unsere, mit Ihnen zu kartieren und zu schließen.

Compliance-Einschätzung anfordern →

---

Weiterführend:

• Grenzüberschreitende Datentransfers nach PIPL
• Chinas Cybersicherheitsgesetz und Datenlokalisierung
• Chinas Gesetz zum Schutz personenbezogener Daten
• Wie Sie eine ICP-Beian für China erhalten

Häufige Fragen

Hat Salesforce Data 360 (vormals Data Cloud) eine Festland-China-Region?

Nein. Data 360 läuft auf Salesforces Hyperforce-Cloud, deren Regionen die USA, das UK, Deutschland, Indien und Japan sind, und es ist nicht unter den Clouds, die Salesforce auf Alibaba Cloud in China lokalisiert. Es gibt keine Festland-China-Region und keine selbstgehostete Edition, die einheitlichen Profile Ihrer China-Nutzer werden also im Ausland aufgelöst und gespeichert.

Warum ist „kann der Data-360-Endpunkt aus China erreicht werden?“ nicht die richtige Frage?

Weil Erreichbarkeit die kleinere Hälfte ist. Selbst wenn die Aufnahme funktioniert, schreibt Data 360 die Identitäten und das Verhalten Ihrer China-Nutzer in ein wachsendes Offshore-Profil — ein PIPL-Grenztransfer, wobei Identitätsauflösung und Profiling Art.-24-Pflichten zu automatisierten Entscheidungen hinzufügen. Ein Latenztest sieht nie den Transfer, das Profiling oder die Einwilligungsgrundlage.

Macht Salesforces Alibaba-Cloud-Partnerschaft Data 360 in China nicht rechtskonform?

Das Alibaba-Cloud-Angebot deckt Sales Cloud, Service Cloud, die Salesforce Platform und das Connected Experiences Gateway ab — nicht Data 360 / Data Cloud. Data 360 für China-Nutzer zu verwenden, heißt weiterhin, ihre personenbezogenen Daten ins Ausland zu senden, die Grenz-, Profiling- und Residenzpflichten bleiben also Ihre, mit Rechtsbeistand zu kartieren und zu schließen.