Funktioniert Litmos (vormals SAP Litmos) in China? Datenresidenz, ICP und Grenzregeln

Was die offizielle Litmos-Dokumentation über China sagt

Fakt	Primärquelle
Litmos nennt seine Hosting-Regionen als die EU, Australien oder die Vereinigten Staaten — keine in Festlandchina. Auf seiner Trust-&-Security-Seite gibt Litmos an: „Customers can choose to host data in several regions including the EU, Australia, or United States to meet regional compliance needs.“ Keine Festland-China-Region wird angeboten, der Lerndatensatz eines China-Mitarbeiters wird also von vornherein im Ausland gehalten.	Litmos Trust & Security page (litmos.com), retrieved 2026-10-13
Litmos verarbeitet die empfangenen personenbezogenen Daten unter US- und EU-Rahmenwerken. Dieselbe Seite gibt an, Litmos „has certified to the US Department of Commerce that it adheres to the U.S.-EU Data Privacy Framework, the UK Extension to the EU-US DPF, and the Swiss-US DPF with regard to the processing of personal data received“ — eine Offshore-, US/EU-zentrische Datenhaltung, ohne Festland-China-Residenzpfad. (Litmos ist seit Dezember 2022 unabhängig von SAP; bestätigen Sie die Region und die vertragschließende Entität Ihres Tenants schriftlich.)	Litmos Trust & Security page (litmos.com), retrieved 2026-10-13
Offshore-Belegschafts-Lerndatensätze sind ein PIPL-Grenztransfer. Die Identitäten, Einschreibungen, Bewertungsergebnisse und Skills-Profile Ihrer China-Mitarbeiter außerhalb des Festlands zu halten, engagiert das Gesetz zum Schutz personenbezogener Daten: Der Verarbeiter muss Mitteilung erteilen und gesonderte Einwilligung einholen (Art. 13 und 23) und einen Transfermechanismus erfüllen (Art. 38–40). PIPL Art. 24 fügt ein Opt-out hinzu, wo Skills bewertet oder Training durch automatisierte Verarbeitung automatisch zugewiesen wird.	PIPL - 21YunBox compliance reference, retrieved 2026-10-13
Eine Residenzpflicht kann Festland-Speicherung verlangen. Für einen Betreiber kritischer Informationsinfrastruktur oder einen Verarbeiter großer Mengen muss in China erhobene personenbezogene Information im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)) — eine Pflicht, die ein nur-Offshore-Litmos-Tenant in der EU, Australien oder den USA nicht erfüllen kann.	China Cybersecurity Law - 21YunBox compliance reference, retrieved 2026-10-13

Quellen vom 21YunBox Compliance-Team am 13. Oktober 2026 geprüft.

Fragen Sie, ob Litmos in Festlandchina „funktioniert“, und die ehrliche Antwort beginnt mit den Daten Ihrer Mitarbeiter, nicht damit, wie schnell ein Kursvideo in Shanghai malt. Litmos — die Corporate-Learning-Plattform, im Dezember 2022 als unabhängiges Unternehmen aus SAP ausgegliedert und nun schlicht als Litmos gebrandet (Sie kennen es vielleicht noch als SAP Litmos) — ist ein System of Record für Ihre Belegschaft: wer jeder Lernende ist, die Kurse, in die er eingeschrieben ist, was er abgeschlossen hat, seine Quiz- und Bewertungsergebnisse und die Skills und Kompetenzen, die gegen ihn kartiert sind. Litmos betreibt dieses System als gehosteten Dienst aus Regionen, die es als die EU, Australien und die Vereinigten Staaten nennt, mit keiner innerhalb Festlandchinas. Für die in China ansässigen Menschen darin macht das Litmos zu einem grenzüberschreitenden Transfer von Mitarbeiter-Personendaten in dem Moment, in dem es sie aufzeichnet — und wo die Plattform ihre Skills bewertet oder ihr Training automatisch zuweist, folgt eine zweite Frage zu automatisierten Entscheidungen. Erreichbarkeit ist real, aber sie ist das Geringste, worüber Sie entscheiden.

Litmos in China auf einen Blick

Wo Litmos läuft — und das klärt die erste Frage

Litmos ist eine gehostete SaaS-Learning-Plattform, und auf seiner eigenen Trust-&-Security-Seite nennt es, wo Ihre Daten leben können: „Customers can choose to host data in several regions including the EU, Australia, or United States to meet regional compliance needs.“ Es gibt keine Region innerhalb Festlandchinas — und Litmos fügt hinzu, dass es „has certified to the US Department of Commerce that it adheres to the U.S.-EU Data Privacy Framework, the UK Extension to the EU-US DPF, and the Swiss-US DPF with regard to the processing of personal data received“, was diese personenbezogenen Daten klar unter US- und EU-Rahmenwerke stellt. Wo Ihr Tenant auch sitzt, die Lerndatensätze, die Litmos für Ihre in China ansässigen Mitarbeiter hält, werden im Ausland gehalten. Diese eine Tatsache entscheidet die erste Compliance-Frage, bevor Erreichbarkeit je gemessen wird: Es geht nicht darum, ob eine Lektion in Shanghai lädt, sondern darum, dass Belegschafts-Personendaten das Land jedes Mal verlassen, wenn Litmos sie aufzeichnet. (Beachten Sie, dass Litmos im Dezember 2022 unabhängig von SAP wurde, SAPs eigene Rechenzentrums-Dokumentation regelt also nicht, wo Litmos hostet; bestätigen Sie die Region und die vertragschließende Entität Ihres Tenants schriftlich, statt einen SAP-Fußabdruck anzunehmen.)

Die Lerndatensätze Ihrer China-Belegschaft sind ein grenzüberschreitender Transfer

Ein Corporate-LMS existiert, um Ihre Menschen zu kennen, und Litmos ist keine Ausnahme: Es hält die Identität jedes Lernenden, seine Einschreibungen, die Kurse und Module, die er abgeschlossen hat, seine Quiz- und Bewertungsergebnisse und die Skills und Kompetenzen, die gegen ihn kartiert sind — häufig verknüpft mit seinem Manager und seinem Platz in der Org. Für Ihre Festland-Mitarbeiter ist jedes dieser Felder personenbezogene Information, und sie in der EU, Australien oder den USA zu halten, heißt, sie aus China zu bewegen. Das engagiert das Gesetz zum Schutz personenbezogener Daten: Als Verarbeiter — Sie, der Arbeitgeber, nicht Litmos — müssen Sie Mitteilung erteilen und gesonderte Einwilligung einholen (Art. 13 und 23) und einen grenzüberschreitenden Transfer-Mechanismus (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung) nach Art. 38 bis 40 erfüllen. Sind Sie ein Betreiber kritischer Informationsinfrastruktur oder ein Verarbeiter großer Mengen, muss in China erhobene personenbezogene Information im Festland gespeichert werden (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)) — eine Residenzpflicht, die ein nur-Offshore-Litmos nicht erfüllen kann. Das sind HCM-nahe Mitarbeiterdaten, nicht „kann das Video streamen“, und es ist das Rückgrat der Frage.

Skill-Scores und automatisch zugewiesenes Training sind automatisierte Entscheidungen

Moderne Learning-Plattformen speichern nicht nur Datensätze; sie handeln auf ihnen. Wo Litmos die Skills eines Mitarbeiters bewertet, seine Kompetenzen rangiert oder Training auf Basis seines Profils empfiehlt und automatisch zuweist, trifft es eine automatisierte Entscheidung über diese Person. PIPL Art. 24 spricht genau dies an: Einzelne haben das Recht auf eine Erklärung und das Recht, keiner allein durch automatisierte Verarbeitung getroffenen Entscheidung unterworfen zu sein, einschließlich eines Wegs zum Opt-out. Ein China-Belegschafts-Deployment, das sich auf automatisiertes Skill-Scoring oder Zuweisung stützt, muss diese Rechte ehren — eine Design-Frage, die ein Erreichbarkeitstest nie zutage fördert, denn das SDK feuert und die Seite lädt, ob das Opt-out existiert oder nicht.

Warum eine Erreichbarkeitsprüfung all dies verfehlt

Es ist verlockend, Litmos zu „testen“, indem man das Portal von einer Festland-Verbindung öffnet und es laden sieht. Aber Erreichbarkeit beantwortet die falsche Frage. Ob der Kursplayer schnell malt, sagt nichts darüber, wo die Lerndatensätze sitzen, ob Sie gesonderte Einwilligung für den grenzüberschreitenden Transfer eingeholt haben, ob eine Residenzpflicht auf Ihre Entität zutrifft oder ob Ihr automatisiertes Skill-Scoring ein Opt-out ehrt. Ein Offshore-LMS bloß erreichbar zu machen, lässt jeden dieser Mitarbeiterdatensätze genau dort, wo er war — im Ausland. Die geregelten Daten im Inland zu halten, ist, was die Compliance-Nadel tatsächlich bewegt.

Kartieren, lokalisieren, ausliefern — der rechtskonforme Weg

Der Weg hindurch ist kein Netztrick; 21YunBox verwendet oder empfiehlt niemals eine Umgehung welcher Art auch immer. Es sind drei bewusste Schritte:

• Kartieren: inventarisieren Sie, was Ihr Litmos-Tenant hält (Lernidentitäten, Einschreibungen, Bewertungen, Skills-Profile, Manager- und Org-Verknüpfungen), wo er gehostet ist, die Einwilligungs- und Residenzgrundlage, auf die Sie sich verlassen, und ob Ihr Skills-Scoring oder Ihre automatische Zuweisung als automatisierte Entscheidungsfindung zählt.
• Lokalisieren und regeln: halten Sie die geregelten Mitarbeiter-Lerndaten im Inland — ein China-ansässiger oder inländisch-deployter Learning-Fußabdruck — mit PIPL-Art.-13/23-Mitteilung und gesonderter Einwilligung, einem für automatisierte Skills- und Trainings-Entscheidungen geehrten PIPL-Art.-24-Opt-out und Daten minimiert auf das, was das Training tatsächlich braucht.
• Ausliefern: melden Sie per ICP jedes auf China ausgerichtete Lern- oder Einschreibungsportal und setzen Sie rechtskonforme, inländische Auslieferung vor das, was Sie bereits betreiben.

Dies ist eine Risikokarte, kein Urteil: Ob Sie Mitteilung und Einwilligung, einen Transfermechanismus, inländische Speicherung, ein Art.-24-Opt-out, eine ICP-Beian oder eine Kombination schulden, hängt davon ab, was Sie erheben, wie viel davon, wessen Daten es sind und Ihre Entität — mit Rechtsbeistand zu klären, bevor Sie Litmos an eine China-Belegschaft ausrollen.

Wo 21YunBox passt — ein rechtskonformes Overlay, keine Migration

Sie betreiben Litmos genau wie heute weiter. 21YunBox ist ein Partner zur Plattform, die Sie bereits nutzen, kein Ersatz für sie: Wir fügen das Stück hinzu, das ein gehostetes, Offshore-LMS nicht kann — rechtskonforme, ICP-gemeldete Auslieferung von innerhalb des Festlands vor Ihrem auf China ausgerichteten Lernportal, plus die Lokalisierungs- und Datenresidenz-Beratung, die die Lerndatensätze Ihrer Mitarbeiter dort rechtmäßig hält, wo sie es sein müssen. Kein Neuaufbau, kein zweites LMS und kein Wechsel weg von Litmos. Unser China-Team kartiert Ihre PIPL-Grenz-, Art.-24- und Datenresidenz-Exponierung gegen Ihre Gesellschaft und Ihre Daten und stellt dann die inländische Auslieferung und rechtskonforme Handhabung auf, die eine rechtmäßige China-Präsenz braucht, während Litmos das System of Record bleibt, das es bereits ist.

Compliance-Einschätzung anfordern →

---

Weiterführend:

• Wie Sie eine ICP-Beian für China erhalten
• Grenzüberschreitende Datentransfers nach PIPL
• Chinas Gesetz zum Schutz personenbezogener Daten

Häufige Fragen

Hat Litmos ein Rechenzentrum oder eine Hosting-Region in Festlandchina?

Nein. Litmos' eigene Trust-&-Security-Seite listet Hosting in der EU, Australien oder den Vereinigten Staaten, um regionale Compliance-Bedürfnisse zu erfüllen, und nennt keine Festland-China-Region. Die Lerndatensätze Ihrer China-Mitarbeiter sitzen daher im Ausland, sofern Sie diese Daten nicht auf anderem Wege im Inland halten.

Ist das nicht SAP Litmos? Gilt SAPs Rechenzentrums-Fußabdruck?

Litmos wurde im Dezember 2022 als unabhängiges Unternehmen aus SAP ausgegliedert (übernommen von Francisco Partners) und ist nun schlicht als Litmos gebrandet. SAPs eigene Rechenzentrums-Dokumentation regelt nicht, wo Litmos hostet, bestätigen Sie also die Region und die vertragschließende Entität Ihres Tenants direkt mit Litmos, statt einen SAP-Fußabdruck anzunehmen.

Wenn wir Litmos einfach in China schnell laden lassen, sind wir rechtskonform?

Nein. Erreichbarkeit ändert nicht, wo die Daten leben. Die Lernidentitäten, Bewertungsergebnisse und Skills-Profile Ihrer Mitarbeiter werden weiterhin im Ausland gehalten, die Einwilligungs- und Grenztransfer-Pflichten gelten weiterhin, und jedes automatisierte Skill-Scoring braucht weiterhin ein PIPL-Art.-24-Opt-out. Die geregelten Daten im Inland zu halten, ist, was die Nadel bewegt.