Funktioniert ThoughtSpot in China? Datenresidenz, ICP & Grenztransfer-Regeln

Was die offizielle ThoughtSpot-Dokumentation über China sagt

Fakt	Primärquelle
In ThoughtSpots eigenen Worten: „ThoughtSpot Cloud on AWS is available in the following regions“ und „ThoughtSpot Cloud on GCP is available in the following regions“ — die Listen erstrecken sich über die USA, Kanada, Irland, Frankfurt, London, die Vereinigten Arabischen Emirate, Singapur, Japan (Tokio) und Sydney. Keine ist in Festlandchina; die nächsten sind Singapur, Tokio und Sydney. Eine verwaltete Instanz und der Suchindex, die gespeicherten Antworten und Extrakte, die sie baut, ruhen daher offshore.	ThoughtSpot Cloud documentation — ThoughtSpot Cloud requirements and support, retrieved 2026-10-14
ThoughtSpot liefert auch eine selbstverwaltete Software-Edition. Sein eigener Bereitstellungsleitfaden gibt an, „You can install ThoughtSpot Software on a cloud provider or VMware“, mit dokumentierten Umgebungen einschließlich AWS EC2, Microsoft Azure, Google Cloud Platform, VMware und Ihrem eigenen Betriebssystem. Weil Sie kontrollieren, wo diese Knoten laufen, kann die Software-Edition auf Infrastruktur innerhalb Festlandchinas bereitgestellt werden, wodurch die indexierte personenbezogene Information auf chinesischem Boden bleibt.	ThoughtSpot Software documentation — Deployment, retrieved 2026-10-14
Die personenbezogene Information von Menschen in China in einer Offshore-ThoughtSpot-Cloud-Instanz zu halten, ist ein grenzüberschreitender Transfer. PIPL Art. 38–40 verlangen vom Verarbeiter (Sie, der Kunde — nicht ThoughtSpot), Mitteilung zu geben, gesonderte Einwilligung einzuholen und einen Transfermechanismus zu erfüllen — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder eine Zertifizierung.	Personal Information Protection Law, Chapter III (Articles 38–40)
Ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen muss China-personenbezogene-Information im Festland halten (PIPL Art. 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37) — die Novelle 2025, in Kraft 1. Januar 2026, nummerierte den Datenlokalisierungs-Artikel von 37 auf 39 um, Inhalt unverändert). Weil Such-Analytik Daten verdichtet, kann eine Bereitstellung selbst die Großmengen-Schwelle überschreiten; eine Offshore-verwaltete Instanz kann die Pflicht nicht erfüllen.	Cybersecurity Law Article 39 (formerly Article 37); PIPL Article 40

Quellen vom 21YunBox Compliance-Team am 14. Oktober 2026 geprüft.

Für ein Team, das Festlandchina bedient, ist die entscheidende Frage zu ThoughtSpot nicht, ob eine Suchleiste antwortet oder ob es Ihr Warehouse erreichen kann — beides ist Routine. Es ist, wo die Daten, mit denen ThoughtSpot arbeitet, zur Ruhe kommen dürfen. ThoughtSpot ist eine such- und KI-getriebene Analytikplattform: Sie richten es auf Ihre Quellen, es baut ein durchsuchbares Modell, sodass Menschen Fragen in natürlicher Sprache stellen und die Antworten als gespeicherte Antworten, Liveboards und geplante Auslieferungen zurücklesen können. Um das zu tun, verdichtet es Daten — Kundendatensätze, Nutzerkonten, Transaktionen, Mitarbeiterdaten — in eine indexierte In-Memory-Analytikschicht, und dieser Inhalt ist, überwiegend, personenbezogene Information. Das Flaggschiff, ThoughtSpot Cloud, ist die verwaltete SaaS-Edition, die ThoughtSpot auf AWS und Google Cloud betreibt, und die Regionsliste keines Anbieters für den Dienst umfasst Festlandchina. Eine verwaltete Instanz und der Suchindex, die Caches und Ergebnismengen, die sie hält, kommen also offshore zur Ruhe. Die gesonderte, selbstverwaltete ThoughtSpot-Software-Edition läuft auf Infrastruktur, die Sie kontrollieren — der inländische Hebel, auf den wir unten zurückkommen.

Hier ist die Hälfte, die eine Erreichbarkeitsprüfung nicht sehen kann: Eine Such-und-KI-Analytikplattform ist ein Verdichter. Sie zeigt nicht bloß einen Bericht an — sie zieht aus jedem Quellsystem in eine Modellierungs- und Indexierungsschicht und behält die Extrakte, In-Memory-Modelle und gespeicherten Ausgaben dort. Wo diese Kopien physisch leben, und auf welcher Rechtsgrundlage die personenbezogene Information in ihnen China verlassen hat, ist die Frage, die ein Latenztest nie stellt. Das ist die Frage, die diese Seite beantwortet.

ThoughtSpot in China auf einen Blick

Wo die Daten tatsächlich ruhen

ThoughtSpot kommt in zwei Gestalten, und sie beantworten die Residenzfrage unterschiedlich. Das Flaggschiff, ThoughtSpot Cloud, ist der vollständig verwaltete Dienst: ThoughtSpot betreibt es auf AWS und Google Cloud, und Sie wählen die Region aus ThoughtSpots Liste. Diese Liste hat keine Festland-China-Region. Nach ThoughtSpots eigener Anforderungsdokumentation ist „ThoughtSpot Cloud on AWS is available in the following regions“ — die USA, Kanada, Irland, Frankfurt, London, die Vereinigten Arabischen Emirate, Singapur, Japan und Sydney — und die GCP-Liste ist ähnlich; die nächsten zum Festland sind Singapur, Tokio und Sydney, alle außerhalb davon. Es gibt keine China-Regions-Option zum Wählen, eine verwaltete Instanz sitzt also konstruktionsbedingt offshore.

ThoughtSpot kann ein Cloud-Warehouse live abfragen, statt es vollständig zu kopieren, und das begrenzt tatsächlich, wie viele Rohdaten in der Plattform landen. Aber es nimmt die Residenzfrage nicht vom Tisch. Die Instanz hält weiterhin ihren Suchindex, die In-Memory-Modelle, die sie baut, Abfrage-Caches, Ihre gespeicherten Antworten und Liveboards, die Ergebnismengen geplanter Auslieferungen, die sie per E-Mail versendet oder ausschreibt, und Ihre Nutzerkonten — alles in ihrer Offshore-Region. Und die Natürliche-Sprache-Suchschicht, die das Produkt definiert, funktioniert, indem sie die Daten indexiert, die Sie ihr offenlegen, Ergebnismengen, die personenbezogene Information enthalten, kommen also irgendwo zur Ruhe: in der Offshore-Region der verwalteten Instanz oder in welchem Warehouse auch immer Sie darauf richten. So oder so ist, wo diese Kopien leben, die rechtliche Frage.

Was es hält, ist personenbezogene Information

Eine Such-und-KI-Analytikplattform ist ein Verdichter. Sie zieht aus jedem Quellsystem — Ihrem Warehouse, Ihren Transaktionsdatenbanken, Ihren Ereignisströmen — in eine Indexierungs- und Modellierungsschicht, dann baut sie Extrakte, In-Memory-Modelle, einen Suchindex und geplante Ausgaben obendrauf. Das macht eine ThoughtSpot-Bereitstellung zu einer der größten einzelnen Verdichtungen personenbezogener Information, die ein Unternehmen hält: Kundendatensätze, Nutzerkonten, Transaktionen, Support-Historie, Mitarbeiterdaten. Das meiste davon ist personenbezogene Information nach PIPL, und ein Teil — Kontakt-, Finanz- und Identitätsdaten — ist sensible personenbezogene Information, die erhöhte Pflichten nach sich zieht.

Deshalb ist Residenz, nicht Erreichbarkeit, der Test. Wenn die personenbezogene Information von Menschen in China in einer Offshore-ThoughtSpot-Cloud-Instanz ruht — oder in einem Offshore-Warehouse, aus dem es indexiert — machen Sie einen grenzüberschreitenden Transfer, und PIPL Art. 38–40 regieren ihn: Mitteilung, gesonderte Einwilligung und ein rechtmäßiger Transfermechanismus — eine CAC-Sicherheitsbewertung, der CAC-Standardvertrag oder eine Zertifizierung. Die Sicherheitsbewertungs-Maßnahmen setzen, wann diese Bewertung verpflichtend statt optional ist.

Über den Transfer-Regeln sitzt eine härtere Pflicht. Ein Betreiber kritischer Informationsinfrastruktur oder ein Verarbeiter großer Mengen muss China-personenbezogene-Information innerhalb des Festlands speichern — PIPL Art. 40 und die Datenlokalisierungsregel im Cybersicherheitsgesetz Art. 39 (vormals Art. 37). Weil Such-Analytik Daten verdichtet, kann eine einzelne ThoughtSpot-Bereitstellung einen Verarbeiter selbst über die Großmengen-Schwelle kippen, die diese Pflicht auslöst. Eine Offshore-verwaltete Instanz kann sie nicht erfüllen, weil die Daten per Definition nicht im Land sind.

Es auf einem verwalteten Dienst ohne China-Region zu betreiben, erfüllt die Residenzpflicht nicht — und was sie erfüllt

Die Behebung ist nicht, einen Offshore-ThoughtSpot-Endpunkt aus China erreichbar zu machen. Erreichbarkeit war nie das Problem; Residenz ist es. Wenn Ihre Pflichten verlangen, dass China-personenbezogene-Information im Festland bleibt, ist der rechtmäßige Hebel, die Analytikschicht im Land zu betreiben.

Hier divergieren die zwei ThoughtSpot-Produkte. ThoughtSpot Cloud bietet keine Festland-China-Region und kein Kunden-Hosting — für Cloud heißt der inländische Weg also, ein rechtmäßiges inländisches Äquivalent aufzustellen. ThoughtSpot Software hingegen ist die selbstverwaltete Edition: Software, die Sie auf Infrastruktur betreiben, die Sie kontrollieren. ThoughtSpots eigener Bereitstellungsleitfaden gibt an, „You can install ThoughtSpot Software on a cloud provider or VMware,“ mit dokumentierten Umgebungen einschließlich AWS EC2, Microsoft Azure, Google Cloud Platform, VMware und Ihrem eigenen Betriebssystem. Weil Sie wählen, wo diese Knoten laufen, kann die Software-Edition auf Festland-China-Infrastruktur bereitgestellt werden, der Index und die Ergebnisschicht bleiben also im Land, mit den Quellen, aus denen sie liest, ebenfalls im Land. (ThoughtSpot hat aufgehört, Hardware-Appliances zu verkaufen und zu verlängern, planen Sie den Software-Weg also auf einer Cloud- oder Virtualisierungsplattform, die Sie kontrollieren, statt auf einer Appliance.) Die selbstverwaltete Edition trägt ihre eigene Betriebslast gegenüber dem verwalteten Dienst — Sie besitzen die Hardware, das OS und die Upgrades — wägen Sie das also ab, aber der Punkt steht: Die Engine läuft, wo Sie sie bereitstellen, und nichts hier ist gesperrt.

So oder so ist dies kein Re-Platforming-Projekt. Sie behalten den Stack, den Sie bereits betreiben, und platzieren eine rechtskonforme, inländische Analytikschicht dort, wo die Daten leben müssen, dann setzen Sie die China-gerichteten Reporting-Oberflächen — die Liveboards, die eingebettete Suche und die Reporting-Portale, die Ihre Festland-Nutzer öffnen — auf ICP-gemeldete, inländische Auslieferung davor. Lokalisieren heißt eine inländische Bereitstellung, keinen Weg zurück zu einem Offshore-Endpunkt.

Diese Seite kartiert Exponierung; sie ist kein Richtspruch. Ihre tatsächlichen Pflichten drehen sich um Ihre Gesellschaft, wie Sie die Daten klassifizieren, Ihre Transfermengen und ob Sie ein Betreiber kritischer Informationsinfrastruktur sind — klären Sie diese Einzelheiten also mit qualifiziertem China-Rechtsbeistand, bevor Sie sich auf irgendeinen einzelnen Weg verlassen.

Der rechtmäßige Weg — kartieren, lokalisieren, liefern

21YunBox ist eine Compliance-Overlay, keine Migration — und ein Partner zu Ihren Cloud-Anbietern und Ihrem Analytik-Team, kein Wettbewerber dazu.

• Kartieren. Wir lesen die PIPL-Grenz-, Datenresidenz-, Datenlokalisierungs-(CII-) und ICP-Pflichten gegen Ihre Gesellschaft, Ihre Datenmengen und wessen personenbezogene Information tatsächlich in ThoughtSpot fließt — sodass Sie wissen, welche Pflichten greifen, bevor Sie irgendetwas bewegen.
• Lokalisieren. Wir betreiben die Analytikschicht im Land, sodass die personenbezogene Information auf Festland-Boden bleibt — eine selbstverwaltete ThoughtSpot-Software-Bereitstellung auf Festland-Infrastruktur, wo das passt, oder ein lizenziertes inländisches Äquivalent, mit den verbundenen Quellen im Land — und behalten eingewilligte, inländische Speicherung für das, was bleiben muss. Für ThoughtSpot Cloud, das keine China-Region hat, heißt lokalisieren, ein rechtmäßiges inländisches Äquivalent aufzustellen, keinen Weg zurück zum Offshore-Dienst.
• Liefern. Jede China-gerichtete Oberfläche vor der Analytikschicht — die Liveboards, die eingebettete Suche, die Admin- und Reporting-Portale, die Ihre Festland-Nutzer ansteuern — läuft über ICP-gemeldete, inländische Auslieferung (der 21YunBox Optimizer), vor dem Stack, den Sie bereits betreiben. Kein Neuaufbau, keine zweite Codebasis.

Das Ergebnis ist eine Analytikschicht, die rechtmäßig und rechtskonform für Ihre Nutzer in China läuft. 21YunBox nutzt oder empfiehlt niemals irgendeine Form der Umgehung.

Compliance-Einschätzung anfordern →

Weiterführende Lektüre

• Grenzüberschreitende Datentransfers nach PIPL
• Chinas Gesetz zum Schutz personenbezogener Informationen
• Chinas Cybersicherheitsgesetz und Datenlokalisierung
• Chinas Datenexport-Sicherheitsbewertungs-Maßnahmen
• Wie man eine ICP-Lizenz für eine Website in China erhält

Häufige Fragen

Speichert ThoughtSpot die Daten chinesischer Nutzer in China?

Nicht im verwalteten Dienst. ThoughtSpot Cloud läuft auf AWS und Google Cloud, und nach seiner eigenen Dokumentation ist keine seiner verfügbaren Regionen in Festlandchina — die nächsten sind Singapur, Tokio und Sydney. Der Suchindex, die gespeicherten Antworten und Extrakte, die eine verwaltete Instanz aus den Daten Ihrer China-Nutzer baut, ruhen also offshore. Die selbstverwaltete ThoughtSpot-Software-Edition ist die Ausnahme: Sie können sie auf Infrastruktur innerhalb Chinas betreiben.

Ist es gesetzwidrig, ThoughtSpot in China zu nutzen?

Nicht inhärent. Das Problem ist der grenzüberschreitende Transfer personenbezogener Information in eine Offshore-Instanz, den PIPL erlaubt, wenn Sie Mitteilung geben, gesonderte Einwilligung einholen und einen Transfermechanismus erfüllen. Ob Sie auch einer Datenlokalisierungspflicht gegenüberstehen, hängt von Ihrer Rolle ab (zum Beispiel, ob Sie ein CIIO sind) und der Menge personenbezogener Information, die Sie in der Plattform verdichten. Behandeln Sie es als ein mit qualifiziertem China-Rechtsbeistand zu bewertendes Risiko, kein pauschales Verbot.

Kann 21YunBox helfen, ThoughtSpot in China rechtskonform zu betreiben?

Ja. Unser China-Team kartiert die Grenz- und Datenresidenz-Exponierung für Ihre Datenmengen und Rolle, und wo China-personenbezogene-Information im Festland bleiben muss, stellt es eine selbstverwaltete ThoughtSpot-Software-Bereitstellung auf inländischer Infrastruktur mit ICP-gemeldeter, inländischer Auslieferung davor auf. Nehmen Sie Kontakt auf, um Ihren konkreten Fall durchzuarbeiten.