Funktioniert Saviynt in China? Datenresidenz, ICP und Grenzregeln

Was die offizielle Saviynt-Dokumentation über China sagt

Fakt	Primärquelle
Saviynts eigene Enterprise-Identity-Cloud-Architektur-Seite beschreibt eine anbietergehostete globale Cloud: Unter ihrem Sovereignty-Grundsatz gibt sie an, „With 25+ sites around the globe, Saviynt EIC ensures data and backups meet corporate, local, and regional requirements.“ Keine dieser Sites ist als Festland-China-Region oder inländische China-Residenz-Option genannt.	Saviynt — Enterprise Identity Cloud architecture solution guide (Sovereignty tenet), retrieved 2026-10-12
Saviynt liefert Residenz über isolierte Cloud-Tenants, die es hostet: Seine Ankündigung vom Januar 2025 sagt „Isolated environments on AWS and Azure ensure data residency and compliance with local and global regulations“ — gestartet für Indien. Die Residenzmärkte, die Saviynt öffentlich nennt (die USA, die EU/Frankfurt und Indien), umfassen keine Festland-China-Region, und es handhabt die Tenant-Platzierung pro Kunde.	Saviynt press release — dedicated AWS/Azure tenants for India, retrieved 2026-10-12
Die Belegschaftsidentitäten, Berechtigungen und Zugriffs-Zertifizierungsdatensätze, die Saviynt für Menschen in China hält, sind personenbezogene Information. Sie in einem Offshore-Tenant zu halten, ist ein grenzüberschreitender Transfer nach PIPL — Art. 38–40 verlangen einen Transfermechanismus, Art. 13 und 23 verlangen Mitteilung und eine Grundlage, und automatisierte Zugriffs-Zertifizierung engagiert PIPL Art. 24 zu automatisierter Entscheidungsfindung.	Personal Information Protection Law of the PRC (PIPL), Articles 13, 23, 24, 38–40
Für einen Betreiber kritischer Informationsinfrastruktur oder hochvolumigen Verarbeiter verlangt die Art. 39 des Cybersicherheitsgesetzes (vormals Art. 37), dass in China erzeugte personenbezogene Information im Festland gespeichert wird — eine inländische Speicherpflicht, die eine Offshore-Saviynt-Site nicht erfüllen kann.	Cybersecurity Law of the PRC, Article 39 (formerly Article 37); 2025 amendment in force 2026-01-01

Quellen vom 21YunBox Compliance-Team am 12. Oktober 2026 geprüft.

Für ein Unternehmen, das Saviynt betreibt, um zu regeln, wer innerhalb der Organisation welche Systeme erreichen darf, wird die Festlandchina-Frage selten dadurch entschieden, wie schnell das Zugriffsanfrage-Portal aus Shanghai malt. Saviynts Enterprise Identity Cloud — seine Identity-Governance-and-Administration- (IGA) Plattform — ist eine anbietergehostete SaaS, und sie ist von innerhalb Chinas erreichbar, Erreichbarkeit ist also nicht, wo die Entscheidung gefällt wird. Was sie klärt, ist Residenz und grenzüberschreitender Transfer. Eine IGA-Plattform existiert, um einen präzisen, fortlaufenden Datensatz Ihrer Belegschaft und ihres Zugangs zu halten: das Verzeichnis jeder Identität, die Sie regeln, die Berechtigungen und Rollen hinter jedem Konto und die Zugriffsprüfungs- und Zertifizierungshistorie, die belegt, wer diesen Zugang genehmigte und wann er zuletzt geprüft wurde. Für Ihre in China ansässigen Mitarbeiter ist dieser ganze Datensatz personenbezogene Information — und weil Saviynt die Enterprise Identity Cloud auf AWS- und Azure-Sites weltweit hostet, mit keiner innerhalb Festlandchinas, wird dieser Datensatz standardmäßig im Ausland gehalten und verarbeitet. Das macht dies zuerst zu einer Compliance-Risiko-Frage, nicht zu einer Performance-Frage.

Saviynt in China auf einen Blick

Was Saviynt tatsächlich hält — der Bauplan von Wer-kann-worauf-zugreifen

Saviynt ist kein statisches Asset wie eine Schriftart oder ein Script; es ist der Kontrolldatensatz für Zugang über Ihre China-Operation hinweg, und es konzentriert genau die Daten, die Chinas Recht wichtig sind. Seine ganze Aufgabe ist es, ein präzises, fortlaufendes Bild Ihrer Belegschaft und ihres Zugangs zu halten: jede Identität, die Sie regeln, die Konten und Berechtigungen, die jede Person hält, die Rollen, die sie bündeln, und die periodischen Zugriffsprüfungen und Zertifizierungen, die belegen, dass der Zugang untersucht und wieder genehmigt wurde. Für Ihre Mitarbeiter in Festlandchina ist jedes Feld dieses Datensatzes personenbezogene Information. Und die Hälfte, die eine Erreichbarkeitsprüfung nie sieht, ist, was dieser Datensatz ist, wenn Sie zurücktreten: Ein Zugriffsprüfungs- oder Berechtigungs-Export ist faktisch eine Karte, wer innerhalb Ihrer Organisation welche Systeme erreichen kann — der Identitätsgraph und die Berechtigungskarte, zusammen gelesen als ein einziger, sicherheitssensibler Bauplan, wie Ihr China-Bestand verriegelt ist und wer die Schlüssel hält. Weil die Enterprise Identity Cloud eine Saviynt-gehostete SaaS ist, die auf Offshore-Sites läuft, wird dieser Bauplan — und die personenbezogene Information Ihrer China-Mitarbeiter — standardmäßig im Ausland gehalten und verarbeitet.

Die Türen: Residenz, der Identitätsgraph als Sicherheits-Exponierung, automatisierte Zertifizierung und ICP

Die erste Tür ist Personendaten-Residenz. Die Identitäten, Berechtigungsinventare und Zertifizierungsdatensätze, die Ihr Saviynt-Tenant von Menschen in China sammelt, sind personenbezogene Information nach Chinas Gesetz zum Schutz personenbezogener Daten, und sie in einer Offshore-Site zu halten, ist ein grenzüberschreitender Transfer (数据出境). Die Pflicht landet bei Ihnen, dem Verarbeiter, nicht bei Saviynt dem Auftragsverarbeiter: Art. 13 und 23 verlangen Mitteilung und eine Grundlage, die Daten zu erheben, und Art. 38–40 verlangen einen Transfermechanismus, um sie ins Ausland zu senden — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. Und für einen Betreiber kritischer Informationsinfrastruktur oder hochvolumigen Verarbeiter verlangt die Art. 39 des Cybersicherheitsgesetzes (vormals Art. 37 — die Cybersicherheitsgesetz-Novelle 2025, in Kraft seit 1. Januar 2026, hat den Datenlokalisierungsartikel von 37 auf 39 umnummeriert, inhaltlich unverändert), dass in China erzeugte personenbezogene Information im Festland gespeichert wird, was eine Offshore-Saviynt-Site nicht erfüllen kann.

Die zweite Tür ist die, die eine IGA-Plattform von einer gewöhnlichen SaaS unterscheidet. Ihr Identitätsgraph und Ihre Berechtigungskarte sind nicht bloß mehr Personendaten — im Ausland sind sie ein konzentrierter, sicherheitssensibler Datensatz, wer was über Ihren China-Bestand erreichen kann: die Governance-Ebene, die vor allem anderen sitzt. Diese Exponierung ist sowohl eine grenzüberschreitende Datenfrage als auch, für sensible Operationen, möglicherweise eine Frage der Handhabung von „wichtigen Daten“ (重要数据) und der Multi-Level-Protection-Scheme- (等级保护, MLPS) Pflichten, die an die Authentifizierungs- und Governance-Kontrollebene anknüpfen. Behandeln Sie die Klassifizierung als mit Rechtsbeistand zu bestätigendes Risiko statt als zu beanspruchendes Etikett — der Punkt ist, dass ein Bauplan, wer die Schlüssel zu Ihrer Operation hält, im Ausland sitzend, eine Governance-Frage ist, die ein Geschwindigkeitstest nie zutage fördert.

Die dritte Tür ist automatisierte Handhabung. Saviynts risikobasierte Zugriffsanfragen, Auto-Provisioning und automatisierte Zertifizierungskampagnen, die Zugang über einzelne Mitarbeiter genehmigen, verweigern oder empfehlen, sind automatisierte Entscheidungsfindung nach PIPL Art. 24, die Einzelnen Transparenz und ein Opt-out aus allein durch automatisierte Mittel getroffenen Entscheidungen gibt. Wo ein Profil oder Zertifizierungsdatensatz sensible personenbezogene Information trägt — Ausweisdokument-Nummern etwa — fügen Art. 28–29 einen Test aus bestimmtem Zweck, Erforderlichkeit und gesonderter Einwilligung obendrauf.

Die vierte Tür ist die ICP-Beian. Veröffentlichen Sie ein auf China ausgerichtetes Self-Service- oder Zugriffsanfrage-Portal an Mitarbeiter innerhalb des Festlands, wird diese Oberfläche als öffentlicher Internetdienst erreicht, was eine ICP-Beian (ICP 备案)-Erwägung auslöst, gebunden an eine Hosting-Ressource physisch innerhalb des Festlands. Ein Saviynt-gehostetes Portal läuft im Ausland, es gibt also nichts daran, wogegen sich melden ließe — den Stack zu tunen, schafft nicht das Festland-Fundament, das eine Meldung braucht.

Eine Erreichbarkeitsprüfung sieht dies nie

Saviynt ist nicht die Art Dienst, der in China schlicht nicht lädt — die Exponierung ist stiller und dauerhafter als ein langsames Malen. Selbst wenn das Zugriffsanfrage-Portal und die Zertifizierungskonsole sofort öffneten, würde ihre Nutzung dennoch die personenbezogene Information Ihrer China-Mitarbeiter und den konzentrierten Bauplan Ihres Zugangsbestands außerhalb des Landes legen. Ein Erreichbarkeitstest beantwortet „kam die Seite zurück?“; er ist blind dafür, wo das Identitätsverzeichnis, die Berechtigungskarte und die Zertifizierungsdatensätze zur Ruhe kommen, und dafür, wer sie rechtmäßig halten darf. Aus diesem Grund veröffentlicht diese Seite keine erstanbieterliche China-Latenzzahl für Saviynt — Geschwindigkeit ist nicht die Achse für eine Entscheidung, die sich um Residenz und Einwilligung dreht. Wo die Daten leben, nicht wie schnell sie ankommen, ist, worauf Chinas Recht reagiert.

Dies ist eine Risikokarte, kein Urteil, dass Saviynt in China „gesperrt“ oder „rechtswidrig“ ist. Welche Pflichten Ihren Fall treffen, hängt von Ihrer Gesellschaft, davon, was Ihr Verzeichnis und Ihre Zertifizierungen tatsächlich halten, Ihrer Rolle nach chinesischem Recht und davon ab, wessen Identitäten Sie regeln — die Einzelheiten mit Rechtsbeistand zu klären, bevor Ihre China-Operation davon abhängt.

Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern

Es gibt einen rechtskonformen Weg, Identity Governance für eine China-Operation zu betreiben, und er sitzt vor dem Saviynt, das Ihr Team bereits nutzt — kein Neuaufbau, kein zweites Tool, keine Migration weg von der Plattform.

Zuerst kartieren: Unser China-Team inventarisiert, was Ihr Saviynt-Tenant regelt — das Identitätsverzeichnis, die Berechtigungs- und Rollenkarte, die Zugriffsprüfungs- und Zertifizierungsdatensätze und jedes auf China ausgerichtete Zugangsportal — stellt fest, wo es gehostet ist (eine Offshore-Saviynt-Site), den ICP-Status jeder öffentlichen Oberfläche und die Einwilligungs- und Residenzgrundlage, auf die sich jeder Fluss verlässt. Wir bauen das technische Bild; die rechtlichen Schlüsse werden mit Rechtsbeistand geklärt.

Dann lokalisieren/regeln: Wir helfen Ihnen, die geregelten Daten — die China-ansässigen Belegschaftsidentitäten, Berechtigungen und Zertifizierungsdatensätze — auf einem rechtmäßigen inländischen Fundament zu halten, die Art.-13/23-Mitteilung-und-Einwilligung einzuholen, das Art.-24-Opt-out für automatisierte Zertifizierung bereitzustellen, jeden biometrischen oder Ausweisdokument-Faktor als sensible personenbezogene Information zu behandeln und die Governance-Ebene zu schützen, statt sie im Ausland ruhen zu lassen. Lokalisieren heißt, die Identitätsdaten auf einem inländischen Pfad zu halten — niemals einen Weg, der sie ohnehin ins Ausland verschifft.

Dann ausliefern: Jede öffentliche auf China ausgerichtete Zugangsoberfläche wird als Internetdienst erreicht, sie trägt also eine ICP-Beian-Erwägung, gebunden an Festland-Hosting, und braucht rechtskonforme, inländische Auslieferung. 21YunBox stellt das auf — den 21YunBox Optimizer — vor dem, was Sie bereits betreiben, sodass es Ihre Nutzer in China legal und rechtskonform bedient. 21YunBox verwendet oder empfiehlt niemals eine Umgehung welcher Art auch immer — wir halten im Inland, was das Recht bleiben sagt, liefern den Rest rechtskonform von innerhalb des Festlands aus und bewegen personenbezogene Information niemals heimlich über die Grenze. Einen Offshore-Tenant bloß erreichbar zu machen, ist nicht die Antwort; die geregelten Identitätsdaten im Inland zu halten, das Portal zu melden und es rechtskonform auszuliefern, ist es. 21YunBox ist ein Compliance-Overlay und Partner zur Identity-Plattform, die Sie bereits betreiben, kein Konkurrent zu ihr.

Compliance-Einschätzung anfordern →

---

Weiterführend:

• Chinas Gesetz zum Schutz personenbezogener Daten (PIPL)
• Grenzüberschreitende Datentransfers nach PIPL
• Chinas Cybersicherheitsgesetz (Datenlokalisierung, Art. 39)
• Wie Sie eine ICP-Beian für China erhalten

Häufige Fragen

Hat Saviynt ein Rechenzentrum oder eine Region in Festlandchina?

Nicht, dass Saviynt veröffentlicht. Die Enterprise Identity Cloud ist eine Saviynt-gehostete SaaS auf AWS und Azure über einen globalen Satz von Sites — mit den USA, der EU und Indien unter den Residenzmärkten, die es nennt — und keine Festland-China-Region erscheint in seinem öffentlichen Material; die Tenant-Platzierung wird pro Kunde gehandhabt. Für eine China-Belegschaft ruhen die Identity-Governance-Daten also in einer Offshore-Site, sofern Sie kein inländisches Fundament bauen. Bestätigen Sie die Region Ihres eigenen Tenants schriftlich mit Saviynt.

Saviynt lädt einwandfrei aus China, warum reicht das nicht?

Weil die Compliance-Frage ist, wo die Daten leben, nicht wie schnell die Konsole malt. Selbst wenn das Zugriffsanfrage-Portal von innerhalb des Festlands sofort öffnete, würden das Verzeichnis der Belegschaftsidentitäten, die Berechtigungskarte und die Zertifizierungsdatensätze weiterhin im Ausland sitzen — ein grenzüberschreitender Transfer personenbezogener Daten nach PIPL. Ein Erreichbarkeitstest kann Residenz, Einwilligung oder die Wichtige-Daten-Exponierung Ihres Identitätsgraphen nicht sehen.

Was macht eine IGA-Plattform sensibler als eine gewöhnliche SaaS, die im Ausland gehalten wird?

Ein IGA-System hält den Bauplan von Wer-kann-worauf-zugreifen über Ihre China-Operation hinweg — den Identitätsgraphen, die Berechtigungs- und Rollenkarte und die Zertifizierungshistorie, die belegt, dass Zugang geprüft wurde. Konzentriert und im Ausland gehalten, ist das genau die Art sicherheitssensibler Daten, die eine Wichtige-Daten- (重要数据) Handhabung und Multi-Level-Protection-Scheme- (等级保护, MLPS) Pflichten auf der Kontrollebene, die Ihren Bestand bewacht, berühren kann. Behandeln Sie die Klassifizierung als mit Rechtsbeistand zu bestätigendes Risiko.