Funktioniert VWO in China? A/B-Tests, Session-Aufzeichnungen, PIPL & Datenresidenz
VWO führt A/B-Tests durch und zeichnet Ihre Besucher auf — Klicks, Navigation, Gerät, IP und Geolokalisierung — und speichert diese Session-Aufzeichnungen und Experimentdaten dann in Rechenzentren in den USA, der EU oder Indien, ohne Festland-China-Region. Für China ist das ein grenzüberschreitender Transfer unter PIPL und eine Datenresidenz-Frage, keine Geschwindigkeitsfrage. Ein Compliance-orientierter Blick.
Funktioniert VWO in China?
Ob Sie VWO für Festlandchina nutzen können, ist zuerst eine Grenz-Daten- und Residenz-Frage, keine Geschwindigkeitsfrage. VWO — die Experimentier- und Verhaltensanalytik-Plattform von Wingify — führt A/B-Tests durch und zeichnet Ihre Besucher auf, sodass Sie in dem Moment, in dem es für einen Festland-Nutzer läuft, die Verhaltensdaten dieser Person erheben und exportieren.
In VWOs eigener Dokumentation (veröffentlicht unter seinem Hersteller Wingify) umfassen die Daten, die es erfasst, die „actions performed ... during the campaigns“ jedes Besuchers — „purchasing a product, navigating to a specific page, clicking on a CTA“ — und Attribute wie „device OS, IP address, geographic location,“ verwandelt in „Session recordings,“ „Heatmap data,“ „Test campaign data“ und mehr. VWO „stores visitor data in three main data centers, positioned in the US, the European Union (EU), and India,“ und nennt keine Festland-China-Region. Die Aufzeichnungen und Experimentdaten Ihrer China-Besucher sitzen also offshore, ein grenzüberschreitender Transfer personenbezogener Informationen, den PIPL regiert. VWOs standardmäßige Tastenanschlag-Anonymisierung engt ein, welche eingegebenen Daten Sie exportieren, aber sie bringt die Daten nicht nach Hause. Die Tabelle unten ist VWOs eigener Wortlaut und die Regeln, die er auslöst.
Dies ist ein Risikobild, kein Urteil — Ihre Pflichten drehen sich darum, was Ihre Aufzeichnungen erfassen, Ihre Datenmengen und Ihre Rolle. Unser China-Team kann Ihre VWO-Exponierung mit Ihnen kartieren →
Compliance-Momentaufnahme
- ! Bettet ein Skript ein, das Ihre Festland-Besucher aufzeichnet — ihre Aktionen (Klicks, Seitennavigation, Käufe) und Attribute (Geräte-OS, IP-Adresse, geografischer Standort) — neu zusammengesetzt in Session-Aufzeichnungen, Heatmaps, Umfragen und Experimentdaten
- ✓ Anonymisiert Tastenanschläge standardmäßig — Passwörter und die Ziffern von Telefon-, Karten-, Sozialversicherungs- und CVV-Nummern — und markiert PII wie E-Mails und Passwörter, bevor sie VWOs Server erreicht
- ! Aber das Maskieren von am Bildschirm angezeigtem (nicht eingegebenem) Inhalt ist Ihnen überlassen, und VWO sagt, Mitteilung und Besucher-Einwilligung seien die Verantwortung des Kunden — der Verhaltens-Datensatz und am Bildschirm angezeigte PII können weiterhin erfasst werden
- ✕ Speichert Besucherdaten in drei Rechenzentren — den USA, der EU und Indien, ohne Festland-China-Region, sodass China-Sessions dort aufzuzeichnen ein grenzüberschreitender Transfer unter PIPL ist
- ✓ Ein rechtskonformer inländischer Erfassungs-, Auslieferungs- und Speicherweg existiert — kein Neuaufbau, keine Migration weg von VWO
Was die offizielle VWO-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| In VWOs eigenen Worten zeichnet es sowohl auf, was jeder Besucher tut, als auch, wer er ist. VWOs Dokumentation klassifiziert die Daten, die es von den Website-Besuchern eines Kunden erhebt, als „Events — The actions performed by the visitor during the campaigns“ — seine Beispiele sind „purchasing a product, navigating to a specific page, clicking on a CTA, etc.“ — und „Attributes — The properties of the visitor collected as part of the campaigns,“ etwa „device OS, IP address, geographic location, etc.“ Daraus, sagt es, „furnishes their performance for“ „Session recordings,“ „Survey data,“ „Heatmap data,“ „Test campaign data,“ „Forms“ und „Goals and funnels.“ Ein Moment-für-Moment-Datensatz dessen, was eine reale Person auf Ihrer Seite tat, gebunden an ihre IP-Adresse und ihren Standort, ist verhaltensbezogene personenbezogene Information unter chinesischem Recht. | Wingify (VWO) Help Center — Where Does Wingify Store Visitor Data?, retrieved 2026-10-08 |
| Diese Aufzeichnungen werden offshore gespeichert — in den USA, der EU oder Indien. VWO gibt an, dass es „stores visitor data in three main data centers, positioned in the US, the European Union (EU), and India,“ dass es „assigns a default data center during account signup based on the account location,“ und dass diese „data centers process their own visitor data independently and are not connected to each other.“ Keine der drei ist innerhalb Festlandchinas, und das Rechenzentrum folgt der Region Ihres Kontos, nicht der Ihres Besuchers — sodass die Aufzeichnungen und Experimentdaten eines Festland-Besuchers außerhalb Chinas gehalten werden, in welcher Region Sie auch sind. | Wingify (VWO) Help Center — Where Does Wingify Store Visitor Data?, retrieved 2026-10-08 |
| VWO anonymisiert eingegebene Geheimnisse standardmäßig — überlässt aber den Rest Ihnen. Sein Session-Recording-Compliance-Leitfaden sagt, dass „by default, Wingify anonymizes all key presses to avoid storing or transmitting any personal or sensitive data to Wingify servers,“ und maskiert eingegebene Felder wie Passwörter und die Ziffern von Telefon-, Karten-, Sozialversicherungs- und CVV-Nummern, und seine Speicher-Notiz fügt hinzu, dass es „categorizes all sensitive data and personally identifiable information, such as email addresses and passwords, and anonymizes them.“ Aber VWO ist deutlich, dass das Maskieren von am Bildschirm angezeigtem, nicht eingegebenem Inhalt — „order summary, Checkout page, and others“ — etwas ist, das „you can provide“ selbst. Am Bildschirm angezeigte personenbezogene Daten und der Verhaltens-Datensatz selbst können weiterhin erfasst und exportiert werden — und PIPL knüpft erhöhte Pflichten an sensible personenbezogene Informationen, eine Kategorie, die Standort- und Finanzdaten erreicht, wo immer sie mitreiten. | Wingify (VWO) — Data Privacy Compliance Guide: Session Recordings; Where Does Wingify Store Visitor Data?, retrieved 2026-10-08 |
| VWO legt die Datenschutz-Pflichten auf Sie — einschließlich der Einwilligung für Aufzeichnungen. Sein Compliance-Leitfaden sagt Kunden, sie sollen „recognize your role as the Data Controller while Wingify acts as the Data Processor,“ gibt an, dass für Session-Replay „consent is the legitimate ground in this case and it is mandatory for all data controllers to show all data subjects cookie notice, privacy notice and get consent,“ und bestätigt, dass „showing privacy notice and taking user consent is the responsibility of“ dem Kunden. Der Leitfaden arbeitet seine Checkliste durch „data protection laws such as GDPR, CCPA, PIPEDA, and more“ — Chinas PIPL überlässt er Ihnen, dem Verarbeiter. | Wingify (VWO) — Data Privacy Compliance Guide: Session Recordings, retrieved 2026-10-08 |
| Unter PIPL ist dieser Export ein regulierter grenzüberschreitender Transfer, und für manche Verarbeiter müssen die Daten in China bleiben. Session-Aufzeichnungen und Experimentdaten, die von Festland-Besuchern erfasst werden, sind personenbezogene Information; sie zu VWOs Offshore-Rechenzentren zu exportieren, ist ein grenzüberschreitender Transfer unter PIPL, der Mitteilung, gesonderte Einwilligung und einen Transfermechanismus braucht (Artikel 38–43). Seit den grenzüberschreitenden Regeln des CAC vom März 2024 ist ein Nicht-Betreiber-kritischer-Informationsinfrastruktur, der in einem Kalenderjahr die nicht-sensiblen personenbezogenen Informationen von weniger als 100.000 Personen bewegt, von der Sicherheitsbewertung, dem Standardvertrag und der Zertifizierung befreit — aber sensible Daten und größere Mengen tragen strengere Pflichten, und für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen müssen in China erhobene personenbezogene Informationen innerhalb des Festlands gespeichert werden (PIPL Artikel 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)), was VWOs US-, EU- und Indien-Regionen nicht können. | CAC — Provisions on Promoting and Regulating Cross-border Data Flows, March 2024; PIPL Articles 38–43 and 40; Cybersecurity Law Article 39 (formerly Article 37) |
Quellen vom 21YunBox Compliance-Team am 8. Oktober 2026 geprüft.
Für ein Festlandchina-Publikum ist die entscheidende Frage nach VWO nicht, wie schnell seine Tests und Aufzeichnungen rendern — es ist, wessen Verhalten das Land verlassen muss, damit sie laufen. VWO, die Experimentier- und Verhaltensanalytik-Plattform von Wingify, funktioniert, indem es Ihre Besucher beobachtet: Es zeichnet die Aktionen auf, die sie durchführen, und die Attribute, die sie tragen, und speichert und spielt diese Daten dann von seinen eigenen Rechenzentren ab. Richten Sie es auf Ihre Festland-Besucher, und Sie exportieren deren Session-Aufzeichnungen, Heatmaps und Experimentdaten über die Grenze — etwas, das Chinas Datenschutzrecht direkt regiert. Ob VWOs Skript auf einer bestimmten Festland-Leitung zufällig lädt, ist ein Auslieferungs-Detail; wo die Daten gespeichert werden und was es erfasst, ist die Exponierung.
VWO in China auf einen Blick
| Was es entscheidet | In VWOs eigenen Worten |
|---|---|
| Was es aufzeichnet | VWO erhebt Besucher-„events“ — „the actions performed by the visitor during the campaigns,“ etwa „purchasing a product, navigating to a specific page, clicking on a CTA“ — und „attributes“ wie „device OS, IP address, geographic location,“ und verwandelt sie in „Session recordings,“ „Heatmap data,“ „Survey data“ und „Test campaign data.“ Das sind verhaltensbezogene personenbezogene Daten. |
| Was es verbirgt | „By default, Wingify anonymizes all key presses“ — Passwörter und die Ziffern von Telefon-, Karten-, Sozialversicherungs- und CVV-Nummern — und „anonymizes“ PII „such as email addresses and passwords.“ Aber das Maskieren von am Bildschirm angezeigtem, nicht eingegebenem Inhalt ist dem Kunden überlassen. |
| Wo es gespeichert wird | „Stores visitor data in three main data centers, positioned in the US, the European Union (EU), and India,“ zugewiesen „based on the account location.“ Keine Festland-China-Region wird genannt. |
| Wer verantwortlich ist | VWO sagt Kunden, sie sollen „recognize your role as the Data Controller while Wingify acts as the Data Processor,“ und dass Mitteilung und Besucher-Einwilligung „the responsibility of“ dem Kunden obliegen. Unter PIPL sind Sie der Verarbeiter. |
| Die Residenzregel | Die Aufzeichnungen und Experimentdaten von China-Nutzern zu exportieren, ist ein grenzüberschreitender Transfer unter PIPL (Mitteilung, gesonderte Einwilligung, ein Transfermechanismus); Betreiber kritischer Informationsinfrastruktur und Verarbeiter großer Mengen müssen sie im Festland speichern — was US-, EU- und Indien-Regionen nicht können. |
Ein Testskript, das aufzeichnet, was Ihre Besucher tun — und wer sie sind
VWO wartet nicht darauf, dass Sie etwas Zusätzliches sammeln — den Test laufen zu lassen, ist die Datenerhebung. In VWOs eigener Dokumentation fallen die Daten, die es von den Website-Besuchern eines Kunden erhebt, in zwei Kategorien. „Events“ sind „the actions performed by the visitor during the campaigns“ — VWOs Beispiele sind „purchasing a product, navigating to a specific page, clicking on a CTA, etc.“ „Attributes“ sind „the properties of the visitor collected as part of the campaigns,“ etwa „device OS, IP address, geographic location, etc.“ Daraus, sagt VWO, „furnishes their performance for“ „Session recordings,“ „Survey data,“ „Heatmap data,“ „Test campaign data,“ „Forms“ und „Goals and funnels.“ Eine Moment-für-Moment-Rekonstruktion dessen, was eine reale Person auf Ihrer Seite tat, gebunden an ihre IP-Adresse und ihren Standort, ist verhaltensbezogene personenbezogene Information unter Chinas Recht — sobald VWO also für einen Festland-Besucher läuft, handhaben Sie die personenbezogenen Daten dieses Besuchers, und handhaben sie, indem Sie sie an VWO senden.
Anonymisierung engt die Erfassung ein — sie bringt sie nicht nach Hause
VWO baut echte Datenschutz-Steuerungen ein, und sie zählen hier. Sein Session-Recording-Compliance-Leitfaden gibt an, dass „by default, Wingify anonymizes all key presses to avoid storing or transmitting any personal or sensitive data to Wingify servers,“ und maskiert eingegebene Felder wie Passwörter und die Ziffern von Telefon-, Karten-, Sozialversicherungs- und CVV-Nummern, und seine Speicher-Dokumentation fügt hinzu, dass es während der Erhebung „categorizes all sensitive data and personally identifiable information, such as email addresses and passwords, and anonymizes them.“ Das senkt tatsächlich, wie viel sensiblen Text eine Aufzeichnung trägt, und das gehört klar gesagt. Aber VWO zieht die Linie im selben Leitfaden: Das Maskieren von am Bildschirm angezeigtem, nicht eingegebenem Inhalt — „order summary, Checkout page, and others“ — ist etwas, das „you can provide“ selbst, und „showing privacy notice and taking user consent is the responsibility of“ dem Kunden. Personenbezogene Daten, die einfach auf der Seite erscheinen, und der Verhaltens-Datensatz selbst können also weiterhin erfasst werden, sofern Sie sie nicht maskieren — und PIPL knüpft erhöhte Pflichten an sensible personenbezogene Informationen, eine Kategorie, die Standort- und Finanzdaten erreicht, wo immer sie mitreiten.
Die Daten leben in den USA, der EU oder Indien — niemals im Festland
Klar gefragt, wo es diese Daten hält, antwortet VWO in seiner eigenen Dokumentation: Es „stores visitor data in three main data centers, positioned in the US, the European Union (EU), and India.“ Es „assigns a default data center during account signup based on the account location,“ und diese „data centers process their own visitor data independently and are not connected to each other.“ Die Region folgt Ihrem Konto, nicht Ihrem Besucher — und keine der drei ist innerhalb Festlandchinas. VWO rahmt auch die Rollen ein und sagt Kunden, sie sollen „recognize your role as the Data Controller while Wingify acts as the Data Processor“ — was unter Chinas Gesetz zum Schutz personenbezogener Informationen Sie, nicht VWO, zum Verarbeiter personenbezogener Informationen macht. Die Aufzeichnungen und Experimentdaten Ihrer Festland-Besucher zu exportieren, ist daher ein grenzüberschreitender Transfer, und der Verarbeiter muss Mitteilung geben, gesonderte Einwilligung einholen und einen Transfermechanismus klären: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder Zertifizierung (Artikel 38–43). Für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen müssen in China erhobene personenbezogene Informationen im Festland gespeichert werden (PIPL Artikel 40; Cybersicherheitsgesetz Art. 39 (vormals Art. 37)) — eine Residenzpflicht, die drei Offshore-Rechenzentren nicht erfüllen können, und eine, die keine Konto-Einstellung innerhalb von VWO ändert. VWOs eigener Leitfaden arbeitet seine Checkliste bezeichnenderweise durch „data protection laws such as GDPR, CCPA, PIPEDA, and more“; Chinas PIPL überlässt er Ihnen.
Erreichbar oder nicht, die Daten verlassen dennoch das Festland
VWO läuft, indem es ein Skript einbettet, das von VWO-betriebenen Endpunkten lädt und das, was es aufzeichnet, an eines dieser Rechenzentren zurückstreamt. Ob dieses Skript von einer bestimmten Festland-Leitung sauber lädt, ist eine Auslieferungsfrage und nicht diejenige, die entscheidet, ob Sie VWO nutzen dürfen. Selbst in den Sessions, in denen es perfekt lädt, lädt es, um die Aufzeichnungen, Heatmaps und Experimentdaten Ihrer Besucher offshore zu tragen; ein stetigerer Pfad würde diese Daten nur effizienter exportieren, nicht den Transfer rechtmäßig machen. Die Hälfte, die klärt, ob VWO für China nutzbar ist, ist die rechtliche — was die Aufzeichnungen erfassen, wo sie gespeichert werden und unter wessen Recht sie die Grenze überqueren — nicht die des Netzwerks.
Dies ist eine Risikokarte, kein Urteil: Ob Sie eine gesonderte Einwilligung, einen Transfermechanismus, inländische Speicherung, strengere Handhabung sensibler Daten oder all das schulden, dreht sich darum, was Ihre Experimente und Aufzeichnungen erfassen, wie viel Sie unmaskiert lassen, Ihre Datenmengen und wer Ihre Nutzer sind — wert, mit Rechtsbeistand zu klären, bevor Sie sich darauf verlassen.
Wo 21YunBox hineinpasst — ein rechtskonformes Overlay, keine Migration
VWO kann genau dort bleiben, wo es ist. Was wir hinzufügen, ist das Stück, das VWO Ihnen überlässt: ICP-gemeldete, inländische Auslieferung, vor Ihr bestehendes Origin innerhalb Festlandchinas gesetzt — kein Neuaufbau, keine zweite Codebasis, kein Wechsel weg von Ihrem aktuellen Experimentier-Stack. Unser China-Team verfolgt, wohin die Aufzeichnungen und Experimentdaten Ihrer Besucher heute reisen, wägt Ihre PIPL-Grenz- und Datenresidenz-Pflichten gegen Ihre Gesellschaft und Ihre Datenmengen ab und stellt — wo das Gesetz verlangt, dass die Verhaltensdaten Ihrer China-Nutzer im Festland bleiben — die rechtmäßige, inländische Erfassung und Speicherung auf, die VWOs US-, EU- und Indien-Regionen nicht bieten können, während VWO und der Rest Ihres Stacks weiter dort laufen, wo sie bereits sind.
Compliance-Einschätzung anfordern →
Weiterführende Lektüre:
Häufige Fragen
Speichert VWO die Session-Aufzeichnungen und Testdaten chinesischer Nutzer in China?
Nein. Laut VWOs eigener Dokumentation „stores visitor data in three main data centers, positioned in the US, the European Union (EU), and India,“ zugewiesen nach dem Standort Ihres Kontos, ohne Festland-China-Region. Die Session-Aufzeichnungen, Heatmaps, Umfragen und Experimentdaten, die VWO von Ihren Festland-Besuchern erfasst, werden also offshore gehalten.
VWO anonymisiert Passwörter und Tastenanschläge — macht das es nicht sicher für China?
Es hilft, aber es klärt es nicht. VWO anonymisiert Tastenanschläge standardmäßig (Passwörter und die Ziffern von Telefon-, Karten-, Sozialversicherungs- und CVV-Nummern) und markiert PII wie E-Mails, und Sie können nicht eingegebene Felder selbst maskieren. Aber die Aufzeichnung selbst — die Klicks, Seitennavigation und der am Bildschirm angezeigte Inhalt, gebunden an die IP-Adresse und den Standort eines Besuchers — ist weiterhin verhaltensbezogene personenbezogene Information; VWO sagt, Mitteilung und Besucher-Einwilligung seien Ihre Verantwortung; und diese Daten zu VWOs US-, EU- oder Indien-Rechenzentren zu senden, ist weiterhin ein grenzüberschreitender Transfer unter PIPL. Behandeln Sie es als ein mit Rechtsbeistand zu bewertendes Risiko, keine Freigabe.
Kann 21YunBox helfen, unser VWO-Setup in China rechtskonform zu machen?
Ja. Unser China-Team kann Ihre PIPL-Grenz- und Datenresidenz-Exponierung dafür bewerten, was Ihre Aufzeichnungen und Experimente erfassen, Ihre Datenmengen und Ihre Rolle, und die rechtskonforme, ICP-gemeldete inländische Auslieferung — und, wo das Gesetz verlangt, dass die Verhaltensdaten Ihrer China-Nutzer im Festland bleiben, inländische Erfassung und Speicherung — rund um den VWO-Stack aufstellen, den Sie bereits betreiben. Nehmen Sie Kontakt auf, um Ihren konkreten Fall durchzuarbeiten.
