Funktioniert Taboola in China? PIPL-Grenztransfer, Profiling-Einwilligung & Datentransfer
Wenn der Taboola Pixel bei einem Festlandchina-Besucher feuert, exportiert er die verhaltensbezogene personenbezogene Information dieser Person — Seitenbesuche, Käufe, Cookie- und Geräte-IDs, IP — zu Taboolas Offshore-Servern und baut gezielte Werbeprofile. Das ist ein PIPL-Grenztransfer, Profiling nach Artikel 24 und eine Lücke bei der gesonderten Einwilligung. Ein Blick zuerst auf die Compliance: Taboola, der Verhaltensdaten-Export und der rechtmäßige Weg.
Funktioniert Taboola in China?
Taboola löst im Allgemeinen aus Festlandchina auf, der Taboola Pixel scheitert also nicht still — er feuert und exportiert die verhaltensbezogene personenbezogene Information jedes Festland-Besuchers in Echtzeit zu Taboolas Offshore-Servern.
Der Pixel ist JavaScript, das Sie auf Ihre eigene Site setzen; Taboola sagt, er „gathers data about users behavior and actions on your website, like page visits, account creation, purchases“, neben Cookie-IDs, IP-Adressen und mobilen Werbe-IDs. Taboolas eigene Datenschutzrichtlinie gibt an, dass personenbezogene Information über Einzelpersonen in der VR China „is collected by a server in Hong Kong“ und dass es „does not store any Personal Information in the PRC“, sondern sie in Rechenzentren in Israel und den Vereinigten Staaten hält. Das macht jedes Feuern zu einem PIPL-Grenztransfer (Art. 38–40: Mitteilung, eine gesonderte Einwilligung, ein Transfermechanismus) und — weil die Daten gezielte Werbe-„personalized interest profiles“ bauen — zu einem Profiling-Mechanismus nach Artikel 24, der gesonderte, informierte Einwilligung braucht. Der rechtmäßige Hebel ist, den Offshore-Pixel für Festland-Besucher zu gaten oder zu unterdrücken und eine lizenzierte inländische Werbe-und-Analytik-Alternative zu nutzen, nicht, den Offshore-Pixel laden zu lassen.
Behandeln Sie dies als eine mit Rechtsbeistand zu klärende Risikokarte, kein Urteil. Unser China-Team kann Ihre Exponierung kartieren →
Compliance-Momentaufnahme
- ✕ Der Taboola Pixel exportiert die Verhaltensdaten von Festland-Besuchern zu Offshore-Werbeservern
- ! Taboolas Richtlinie: VR-China-Daten werden über einen Hongkong-Server gesammelt, in Israel/USA gespeichert
- ! Diese Verhaltensdaten ins Ausland zu senden, ist ein PIPL-Grenztransfer (Art. 38–40)
- ! Gezielte Anzeigen, aus den Daten gebaut, sind Profiling nach PIPL Artikel 24
- ! Tracking + der Offshore-Transfer brauchen je gesonderte, informierte PIPL-Einwilligung
- ✓ Rechtmäßiger Weg: den Offshore-Pixel für Festland-Nutzer gaten + eine lizenzierte inländische Option
Was die offizielle Taboola-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| Taboolas eigenes Help Center sagt, der Pixel sammelt On-Site-Verhalten und meldet es an Taboola. Taboola beschreibt den Taboola Pixel als „a javascript code that you implement on your website“, das „gathers data about users behavior and actions on your website, like page visits, account creation, purchases, time per session, and many more“, und bestätigt den Datenpfad, wenn es prüft, dass „tracking data is accurately sent to Realize“. | Taboola / Realize Advertiser Help Center, “Realize Tracking Set Up Overview” (The Taboola pixel and more), dated July 23, 2026, retrieved 2026-10-10 |
| Taboola sammelt die Daten von Festland-Besuchern über einen Hongkong-Server und speichert nichts in der VR China. Taboolas Datenschutzrichtlinie gibt an: „Personal Information about individuals in the PRC is collected by a server in Hong Kong, and our data then flows between Hong Kong, Israel, the EEA, the UK, the United States, and Singapore. Taboola does not store any Personal Information in the PRC, and instead stores Customer, User, and Visitor information in our data centers located in Israel and the United States“. | Taboola Privacy Policy, §5.6.4 PRC Data Transfers (policies.taboola.com), Last Update October 7, 2026, retrieved 2026-10-10 |
| Taboola nutzt die Daten, um zu profilieren und zielauszuspielen — der Artikel-24-Auslöser. Seine Datenschutzrichtlinie sagt, Taboola spielt Anzeigen „based on your recent browsing behavior across different Customer websites, browsers, or devices“ aus, kann „recommend ads that are tailored to your interests“ und kann „create personalized interest profiles“. Solche Profile für gezielte Werbung zu bauen und darauf zu handeln, ist automatisierte Entscheidungsfindung, die PIPL Artikel 24 regiert. | Taboola Privacy Policy, §§2.5–2.9 (policies.taboola.com), Last Update October 7, 2026, retrieved 2026-10-10 |
| China-Verhaltensdaten an eine Offshore-Werbeplattform zu exportieren, ist ein PIPL-Grenztransfer, der gesonderte Einwilligung braucht. Personenbezogene Information, die von Nutzern in Festlandchina gesammelt wurde, an Server außerhalb des Festlands zu bewegen, löst PIPL Art. 38–40 aus — Mitteilung, eine gesonderte Einwilligung und einen Transfermechanismus (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung) — und nicht-essenzielles Tracking braucht seine eigene Einwilligung nach Art. 13/23, obendrauf auf den Profiling-Pflichten nach Artikel 24. | Personal Information Protection Law of the PRC, Articles 13, 23, 24, 38–40 (cac.gov.cn), retrieved 2026-10-10 |
Quellen vom 21YunBox Compliance-Team am 10. Oktober 2026 geprüft.
Für eine Site oder App mit Besuchern in Festlandchina ist die eigentliche Frage zu Taboola nicht, ob Sie seinen Tag hinzufügen können — das können Sie. Es ist, was in dem Moment geschieht, in dem dieser Tag bei einem Besucher feuert, der physisch in China ist. Der Taboola Pixel ist JavaScript, das Sie auf Ihre eigene Site setzen, und Taboola beschreibt ihn schlicht: Er „gathers data about users behavior and actions on your website, like page visits, account creation, purchases“, dann meldet er diese Aktivität — mit Cookie-IDs, IP-Adressen und mobilen Werbe-IDs — zurück an Taboola, um Zielgruppen zu bauen und Anzeigen auszuspielen. Taboola löst im Allgemeinen aus dem Festland auf, das ist also kein totes Gewicht: Es exportiert aktiv die verhaltensbezogene personenbezogene Information jedes Festland-Besuchers in Echtzeit zu Offshore-Servern. Das wirft drei Fragen zugleich nach Chinas Gesetz zum Schutz personenbezogener Daten (PIPL) auf: einen grenzüberschreitenden Transfer, automatisierte Entscheidungsfindung und Profiling, und gesonderte, informierte Einwilligung.
Taboola in China auf einen Blick
| Worüber es entscheidet | In Taboolas eigenen Worten — und Chinas Recht |
|---|---|
| Was der Pixel sammelt | Der Taboola Pixel ist JavaScript auf Ihrer eigenen Site, das, in Taboolas Worten, „gathers data about users behavior and actions on your website, like page visits, account creation, purchases“, zusammen mit Cookie-IDs, IP-Adressen und mobilen Werbe-IDs. Nach PIPL ist das personenbezogene Information über einen identifizierbaren Besucher. |
| Wohin sie geht | Zu Taboola, ins Ausland. Taboolas Richtlinie sagt, die Daten von VR-China-Einzelpersonen „is collected by a server in Hong Kong“ und dass es „does not store any Personal Information in the PRC“, sondern sie in Rechenzentren in Israel und den Vereinigten Staaten hält — jedes Feuern ist also ein grenzüberschreitender Transfer (数据出境) nach PIPL (Art. 38–40): Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus. |
| Gezielte Anzeigen = Profiling | Taboola nutzt die Daten, um Anzeigen „based on your recent browsing behavior“ auszuspielen und „create personalized interest profiles“. Solche Profile zu bauen und darauf zu handeln, ist automatisierte Entscheidungsfindung nach PIPL Artikel 24, der Transparenz, Fairness und eine echte Möglichkeit verlangt, profiling-basierte Zielausspielung abzulehnen. |
| Einwilligung | Nicht-essenzielle Tracking-Cookies und Identifikatoren zu setzen und dann zu exportieren, was sie erfassen, braucht eine Rechtsgrundlage. Nach PIPL ist das Einwilligung (Art. 13/23) — klar und informiert, bevor der Tag sammelt — und der grenzüberschreitende Zweig braucht seine eigene gesonderte Einwilligung, kein vergrabenes „by using this site you agree“. |
| Erreichbarkeit ist nicht die Achse | Ob der Pixel schnell lädt, ist nicht die Frage; dass er verhaltensbezogene personenbezogene Information ohne Rechtsgrundlage exportiert, ist es. Der rechtmäßige Weg ist, den Offshore-Pixel für Festland-Besucher zu gaten oder zu unterdrücken, Einwilligung und das Recht nach Artikel 24 abzulehnen zu achten, eine lizenzierte inländische Werbe-und-Analytik-Alternative zu nutzen, wo Sie chinesische Nutzer noch erreichen müssen, und die China-gerichtete Site selbst inländisch auf ICP-gemeldeter Infrastruktur auszuliefern. |
Was der Pixel tatsächlich sendet — und wohin
Taboolas Position in China ist nicht durch einen Geschwindigkeitstest gesetzt; sie ist durch das gesetzt, was der Pixel tut. Der Taboola Pixel — in Taboolas Help Center unter seiner Realize-Werbeplattform dokumentiert — ist, in Taboolas Worten, „a javascript code that you implement on your website“, das „gathers data about users behavior and actions on your website, like page visits, account creation, purchases, time per session, and many more“. Er kann „create and track customer audiences based on page visits, engagement, or actions“, und Taboola bestätigt den Datenpfad in seiner eigenen Diagnose: Ein korrekt installierter Pixel ist einer, dessen „tracking data is accurately sent to Realize“, und der Tag ist „installed and connected to Realize“. Neben diesen Ereignissen sagt Taboolas Datenschutzrichtlinie, dass es „digital identifiers such as cookie IDs, IP addresses, mobile advertising IDs on your device, Taboola network browsing history and associated preferences, and in some limited circumstances, your hashed email address“ verarbeitet.
Wohin gehen diese Daten? Ins Ausland, und Taboola ist dazu spezifisch. Für das Festland im Besonderen gibt seine Datenschutzrichtlinie an, dass „Personal Information about individuals in the PRC is collected by a server in Hong Kong, and our data then flows between Hong Kong, Israel, the EEA, the UK, the United States, and Singapore“, und dass „Taboola does not store any Personal Information in the PRC, and instead stores Customer, User, and Visitor information in our data centers located in Israel and the United States“. Weil Taboola im Allgemeinen aus dem Festland auflöst, ist der Pixel kein kaputter Drittanbieter-Aufruf, der bloß Ihre Seite verlangsamt — er ist ein lebender Export: Bei jedem Festland-Besucher, bei dem er feuert, verlässt der Verhaltensdatensatz das Festland (ein Hongkong-Sammelserver) und kommt in Israel und den Vereinigten Staaten zur Ruhe. Diese Seite veröffentlicht keine Festland-Latenz- oder Match-Rate-Zahl für Taboola, denn Geschwindigkeit ist nicht die Achse, um die sich diese Entscheidung dreht.
Es ist ein Grenztransfer und ein Profiling-Mechanismus — nach PIPL
Drei Regelkörper greifen zugleich, alle nach dem Gesetz zum Schutz personenbezogener Daten.
Erstens, grenzüberschreitender Transfer. Verhaltensdaten, die von Menschen in Festlandchina gesammelt und an die Offshore-Server einer Werbeplattform gesendet werden, sind ein grenzüberschreitender Transfer personenbezogener Information (数据出境) nach PIPL Art. 38–40. Das verlangt Mitteilung an die Einzelperson, eine gesonderte Einwilligung für den Transfer und einen rechtmäßigen Transfermechanismus — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung. Taboolas eigene VR-China-Aussage — Hongkong-Sammlung, Speicherung in Israel und den Vereinigten Staaten, „does not store any Personal Information in the PRC“ — bedeutet, dass dieser Transfer kein hypothetischer Grenzfall ist; es ist, wie der Pixel für Festland-Besucher durch Design funktioniert. Oberhalb gewisser Mengen oder wo die Daten als „wichtige Daten“ gelten, kann der Transfer auch Chinas Datenexport-Sicherheitsbewertung (数据出境安全评估) verlangen, bevor etwas das Land verlässt.
Zweitens, Profiling. Taboola nutzt die Daten, um Anzeigen „based on your recent browsing behavior across different Customer websites, browsers, or devices“ auszuspielen, um „recommend ads that are tailored to your interests“ und um „create personalized interest profiles“. Das ist automatisierte Entscheidungsfindung nach PIPL Artikel 24, der Transparenz und Fairness darin verlangt, wie das Profiling funktioniert, und — für Marketing und Push basierend auf Profiling — eine echte Option für die Einzelperson, die Zielausspielung abzulehnen. Ein Anbieter, der angibt, wie Taboola es tut, dass er „does not profile in furtherance of decisions that produce legal or similarly significant effects“, beantwortet einen europäischen Test; er erfüllt nicht von sich aus Artikel 24, der kommerzielle Zielausspielung, die auf Profiling gebaut ist, regiert, ob die Entscheidung rechtlich signifikant ist oder nicht.
Drittens, Einwilligung. Nicht-essenzielle Tracking-Cookies und Identifikatoren zu setzen und dann zu exportieren, was sie erfassen, braucht eine Rechtsgrundlage. Nach PIPL Art. 13 und 23 ist diese Grundlage Einwilligung — klar und informiert, bevor der Tag sammelt — und der grenzüberschreitende Zweig braucht seine eigene gesonderte Einwilligung, getrennt von der allgemeinen Zustimmung eines Nutzers, Ihre Site zu nutzen. Ein vergrabenes „by using this site you agree“ trägt sie nicht.
Eine weitere Pflicht kann obendrauf sitzen. Ist Ihre Organisation ein Betreiber kritischer Informationsinfrastruktur oder ein Verarbeiter großer Mengen, verlangt Cybersicherheitsgesetz Art. 39 (vormals Art. 37) — die Cybersicherheitsgesetz-Novelle 2025, in Kraft 1. Januar 2026, nummerierte den Datenlokalisierungs-Artikel von 37 auf 39 um, Inhalt unverändert —, dass in China gesammelte personenbezogene Information in China gespeichert wird, eine Pflicht, die ein Pixel, der „does not store any Personal Information in the PRC“, strukturell nicht erfüllen kann.
Den Offshore-Pixel erreichbar zu machen, ist die falsche Lösung — was tatsächlich wirkt
Der Instinkt, wenn ein Drittanbieter-Tag in China inkonsistent funktioniert, ist, ihn zuverlässiger laden zu lassen. Für einen Offshore-Werbe-Pixel ist das genau die falsche Lösung. Die Exponierung ist nicht, dass der Taboola Pixel manchmal nicht feuert; sie ist, dass er, wenn er bei einem Festland-Besucher feuert, die verhaltensbezogene personenbezogene Information dieser Person ins Ausland exportiert und sie ohne PIPL-Rechtsgrundlage in Werbeprofile einspeist. Diesen Aufruf zuverlässiger zu machen, heilt das Problem nicht — es industrialisiert es.
Was tatsächlich wirkt, läuft andersherum. Für Festland-Besucher gaten oder unterdrücken Sie den Offshore-Pixel — bedienen Sie ihn nur eingewilligten, nicht in Betracht kommenden Zielgruppen — und achten Sie sowohl Einwilligung als auch das Recht nach Artikel 24, profiling-basierte Zielausspielung abzulehnen. Wo Sie Messung oder Werbung noch brauchen, um chinesische Nutzer zu erreichen, leiten Sie sie durch eine lizenzierte inländische Werbe-und-Analytik-Alternative — eine inländische Plattform, die rechtmäßig innerhalb Chinas betrieben wird — statt des Offshore-Taboola-Tags. Sie können Taboola selbst nicht lokalisieren: Seine eigene Richtlinie sagt, dass es nichts in der VR China speichert, es gibt also kein inländisches Taboola, auf das man wechseln könnte. Der rechtskonforme Zug ist, den nicht-eingewilligten Offshore-Export zu stoppen und ihn durch einen rechtmäßigen inländischen Weg zu ersetzen, nicht, den Offshore-Endpunkt erreichbar zu machen. Ob, und genau wie, jede PIPL-Pflicht auf Ihre konkreten Pixel und Zielgruppen zutrifft, ist ein mit Rechtsbeistand gegen das zu klärendes Risiko, was Sie tatsächlich sammeln und wohin es geht.
Der rechtmäßige Weg — map, localize, deliver
Es gibt einen rechtmäßigen Weg, Werbung und Messung für ein China-gerichtetes Produkt zu betreiben, und er hat eine Form.
Zuerst map: Unser China-Team inventarisiert, welche Werbe- und Tracking-Pixel tatsächlich auf Ihren festlandgerichteten Seiten feuern, welche verhaltensbezogene personenbezogene Information jeder davon ins Ausland sendet, und wo Ihnen eine Rechtsgrundlage fehlt — eine gesonderte Einwilligung, Transparenz und ein Opt-out nach Artikel 24, ein Transfermechanismus. Die rechtlichen Schlüsse werden mit Rechtsbeistand geklärt; wir rahmen das technische Bild, das sie speist.
Dann localize / govern: Gaten, unterdrücken oder verzögern Sie die Offshore-Pixel für Festland-Besucher, sodass sie nur für eingewilligte, nicht in Betracht kommende Zielgruppen feuern; achten Sie Einwilligung und das Recht nach Artikel 24 abzulehnen; und wo Sie chinesische Nutzer noch erreichen müssen, stellen Sie eine lizenzierte inländische Werbe-und-Analytik-Alternative auf statt des Offshore-Tags. Localize heißt hier, den nicht-eingewilligten Offshore-Verhaltensdaten-Export zu stoppen und ihn durch einen rechtskonformen inländischen Weg zu ersetzen — niemals eine Umleitung, die den Offshore-Pixel doch feuern lässt.
Dann deliver: Die Site oder App, die diese Tags trägt, ist selbst ein öffentlicher Internetdienst im Festland, sie hat also eine ICP-Beian (备案)-Pflicht und braucht rechtskonforme, inländische Auslieferung. 21YunBox liefert sie inländisch aus — der 21YunBox Optimizer — vor dem Stack, den Sie bereits betreiben, ohne Neuaufbau und ohne Re-Plattformierung. Das Ergebnis ist Werbung und eine Site, die für Ihre Nutzer in China legal und rechtskonform laufen. 21YunBox nutzt oder empfiehlt niemals irgendeine Form der Umgehung. Wir sind ein Compliance-Overlay und Partner, kein Konkurrent zu Taboola.
Compliance-Einschätzung anfordern →
Weiterführend:
- Grenzüberschreitende Datentransfers nach PIPL
- Chinas Cybersicherheitsgesetz (Datenlokalisierung, Artikel 39)
- Chinas Datenexport-Sicherheitsbewertung
- Wie Sie eine ICP-Beian für China erhalten
Häufige Fragen
Ist Taboola in China gesperrt, und funktioniert der Taboola Pixel dort?
Taboola löst im Allgemeinen aus dem Festland auf, die ehrliche Antwort ist also, dass Erreichbarkeit nicht das Hindernis ist — und genau deshalb ist es ein Compliance-Problem. Weil der Pixel feuert, exportiert er aktiv die verhaltensbezogene personenbezogene Information jedes Festland-Besuchers (Seitenbesuche, Käufe, Cookie- und Geräte-IDs, IP) in Echtzeit zu Taboolas Offshore-Servern. Die eigentliche Frage für ein China-gerichtetes Produkt ist nicht Geschwindigkeit, sondern Rechtsgrundlage: ein grenzüberschreitender Transfer, Profiling nach Artikel 24 und gesonderte Einwilligung. Behandeln Sie die Einzelheiten als ein mit Rechtsbeistand zu bestätigendes Risiko.
Ist, den Taboola Pixel bei China-Besuchern zu feuern, ein PIPL-Grenztransfer?
Ja, nach Taboolas eigener Darstellung. Seine Datenschutzrichtlinie sagt, die Daten von VR-China-Einzelpersonen „is collected by a server in Hong Kong“ und dass Taboola „does not store any Personal Information in the PRC“, sondern sie in Rechenzentren in Israel und den Vereinigten Staaten hält. Verhaltensdaten, die in Festlandchina gesammelt wurden, an Server außerhalb des Festlands zu bewegen, ist ein grenzüberschreitender Transfer (数据出境) nach PIPL Art. 38–40: Mitteilung, eine gesonderte Einwilligung und ein Transfermechanismus. Weil die Daten auch gezielte Werbeprofile bauen, gilt Artikel 24, und nicht-essenzielles Tracking braucht seine eigene Einwilligung nach Art. 13/23. Bestätigen Sie Ihre genauen Pflichten mit Rechtsbeistand.
Kann ich Taboola-Daten in China halten, um es rechtskonform zu machen?
Nein — Sie können ein Drittanbieter-Werbenetzwerk nicht lokalisieren, und Taboolas eigene Richtlinie sagt, dass es „does not store any Personal Information in the PRC“, es gibt also kein inländisches Taboola, auf das man wechseln könnte. Der rechtskonforme Zug ist nicht, den Offshore-Pixel zuverlässiger laden zu lassen; er ist, ihn für Festland-Besucher zu gaten oder zu unterdrücken, Einwilligung und das Recht nach Artikel 24, Zielausspielung abzulehnen, zu achten, und jegliche Messung oder Werbung, die chinesische Nutzer erreichen muss, durch eine lizenzierte inländische Alternative zu leiten. 21YunBox liefert dann Ihre China-gerichtete Site inländisch auf ICP-gemeldeter Infrastruktur aus.
