Funktioniert Weaviate in China? PIPL-Grenztransfer, Datenresidenz & Selbst-Hosting
Weaviates Endpunkt ist von China aus erreichbar, aber die Objekte und dichten Vektor-Embeddings, die Sie darin laden, sind personenbezogene Information, die im Ruhezustand gespeichert wird — und Weaviate Cloud hat keine Festland-China-Region. Die Daten Ihrer China-Nutzer dort zu indexieren, ist ein grenzüberschreitender Transfer unter PIPL, und Embeddings anonymisieren sie nicht. Ein Compliance-orientierter Blick auf die Residenz-Exponierung und den inländischen Selbst-Host-Hebel.
Funktioniert Weaviate in China?
Weaviates Endpunkt ist von China aus erreichbar, aber die Objekte und dichten Vektor-Embeddings, die Sie darin laden, sind personenbezogene Information, die im Ruhezustand in einem Offshore-Speicher sitzt — Weaviate Cloud hat keine Festland-China-Region, es ist also ein Datenresidenz- und Grenztransfer-Problem, keine Geschwindigkeitsfrage.
Sie füllen Weaviate mit Ihrem eigenen Inhalt — Daten-Objekte (Text, Attribute) plus die daraus berechneten Embeddings — und es behält beides. Wenn dieser Inhalt Menschen in Festlandchina beschreibt, ist es ein grenzüberschreitender Transfer unter PIPL (数据出境), ihn in einen US- oder EU-Cluster zu indexieren, und, für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen, stößt es auf eine inländische Speicherpflicht. Embeddings anonymisieren sie nicht: Sie sind aus personenbezogenen Daten abgeleitet und offen für Inversion und Mitgliedschafts-Inferenz, sodass ein Speicher von Vektoren ein Speicher personenbezogener Informationen ist — und Weaviate behält die Quell-Objekte daneben. Der rechtmäßige Hebel ist, den Index und die Embeddings im Land zu halten, indem man die Open-Source-Weaviate-Datenbank (dieselbe Engine, die die verwaltete Cloud betreibt) selbst hostet, oder eine lizenzierte inländische verwaltete Option — nicht, den Offshore-Endpunkt erreichbar zu machen.
Dies ist eine Risikokarte, kein Urteil — klären Sie die Einzelheiten mit Rechtsbeistand. Unser China-Team kann Ihre Exponierung kartieren →
Compliance-Momentaufnahme
- ✕ Weaviate Cloud (WCD) hat keine Festland-China-Region; der Index sitzt offshore
- ! Die Daten von China-Nutzern in WCD zu indexieren, ist ein grenzüberschreitender Transfer unter PIPL (Art. 38–40)
- ! Embeddings werden aus personenbezogenen Daten berechnet; nicht anonym (Inversion/Inferenz)
- ! Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen schulden inländische Speicherung (CSL Art. 39, vormals 37)
- ✓ Hebel: den BSD-3-Kern inländisch selbst hosten + ICP-gemeldete Auslieferung, kein Neuaufbau
Was die offizielle Weaviate-Dokumentation über China sagt
| Fakt | Primärquelle |
|---|---|
| Weaviate Cloud (WCD) hat keine Festland-China-Region. Weaviates verwaltete Cloud ist „available across five cloud regions“ und allgemein verfügbar auf AWS in US East (N. Virginia) und Europe (Frankfurt) — keine in Festlandchina. Die Objekte und Embeddings Ihrer China-Nutzer dort zu indexieren, ist ein grenzüberschreitender Transfer unter PIPL. | Weaviate Cloud docs & 'Weaviate Shared Cloud now generally available on AWS' (retrieved 2026-10-10) |
| Die Kern-Weaviate-Datenbank ist Open-Source und vollständig selbst-hostbar. Weaviates Dokumentation gibt an, sie sei „available as a hosted service, Weaviate Cloud (WCD), or as a self managed instance,“ und dass „Self-managed instances use the same Weaviate Database as WCD“ — BSD-3-Clause, laufend unter Docker oder Kubernetes, sodass die identische Engine inländisch laufen kann. Einige Enterprise-Add-ons im wl/-Ordner des Repos tragen eine separate Weaviate License. | Weaviate — Installation / Deploy docs; repository LICENSE (retrieved 2026-10-10) |
| Sie, nicht Weaviate, tragen die Grenztransfer-Pflicht. PIPL Artikel 38–40 verlangen Mitteilung, eine gesonderte Einwilligung und einen Transfermechanismus (eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder Zertifizierung), bevor die personenbezogenen Informationen eines China-Nutzers — die Objekte, die Sie indexieren, und die daraus abgeleiteten Embeddings — offshore gesendet werden. Siehe die Datenexport-Sicherheitsbewertung. | PIPL Articles 38–40; CAC data-export measures (retrieved 2026-10-10) |
| Betreiber kritischer Informationsinfrastruktur und Verarbeiter großer Mengen müssen personenbezogene China-Informationen im Land speichern. Artikel 39 des Cybersicherheitsgesetzes (vormals Artikel 37 — umnummeriert durch die Novelle 2025, in Kraft 1. Januar 2026, Inhalt unverändert) verlangt inländische Speicherung, die ein Offshore-Weaviate-Index nicht erfüllen kann; Embeddings sind auch personenbezogene Information (offen für Inversion und Mitgliedschafts-Inferenz), sodass „Wir speichern nur Vektoren“ es nicht heilt. | PRC Cybersecurity Law, Article 39 (formerly Article 37) (retrieved 2026-10-10) |
Quellen vom 21YunBox Compliance-Team am 10. Oktober 2026 geprüft.
Für ein Produkt, das Weaviate für Nutzer in Festlandchina betreibt, ist die erste Frage gewöhnlich, ob sein Endpunkt erreicht werden kann. Aber Erreichbarkeit ist nicht, wo die China-Entscheidung getroffen wird. Weaviate ist eine Vektordatenbank — sein eigenes Repository nennt es eine „open-source vector database that stores both objects and vectors“ — was es zu einem Datenspeicher im Ruhezustand macht: Sie laden es mit dem Inhalt, den Sie durchsuchen wollen, den Daten-Objekten (Text, Attribute, Metadaten), und es behält diese Objekte neben den dichten Vektor-Embeddings, die daraus berechnet werden, für semantische und hybride Suche und Retrieval-Augmented Generation. Für ein China-zugewandtes Produkt beschreibt dieser Inhalt routinemäßig Menschen, er ist also personenbezogene Information. Standardmäßig läuft Weaviate auf Weaviate Cloud (WCD), gehostet auf AWS in den Vereinigten Staaten und Europa ohne Festland-China-Region; die Kern-Datenbank ist zudem BSD-3-Clause-Open-Source und vollständig selbst-hostbar. Das legt drei Zinken auf den Tisch: ein Grenz- und Residenz-Problem, die Tatsache, dass Embeddings personenbezogene Daten nicht anonymisieren, und den inländischen Selbst-Host-Hebel.
Weaviate in China auf einen Blick
| Was es entscheidet | In Weaviates eigenen Worten — und Chinas Recht |
|---|---|
| Was Sie darin laden | Daten-Objekte — Dokumente, Support-Tickets, Produktdatensätze, Wissensdatenbank-Artikel, Nutzerprofile — mit ihren Eigenschaften (dem rohen Text und Attributen), plus ein oder mehr dichte Vektor-Embeddings pro Objekt. Weaviates eigenes Repository beschreibt es als eine Datenbank, die „stores both objects and vectors,“ es behält also sowohl den Quellinhalt als auch die daraus abgeleiteten Vektoren. Wenn die Objekte Menschen in Festlandchina beschreiben, ist der gesamte Speicher personenbezogene Information im Ruhezustand. |
| Wo die Engine läuft | Standardmäßig auf Weaviate Cloud (WCD) — „available across five cloud regions,“ allgemein verfügbar auf AWS in US East (N. Virginia) und Europe (Frankfurt), ohne Festland-China-Region. Die Objekte und Embeddings von China-Nutzern dort zu indexieren, ist ein grenzüberschreitender Transfer personenbezogener Informationen (数据出境) unter PIPL Artikel 38–40, und die Pflicht liegt bei Ihnen, dem Verarbeiter. Die Alternative: die Engine selbst inländisch betreiben. |
| Embeddings sind personenbezogene Information | Ein dichtes Vektor-Embedding wird aus dem Quelltext oder -bild berechnet; es ist nicht anonym. Embeddings sind offen für Inversion (Rekonstruktion annähernden Quellinhalts) und Mitgliedschafts-Inferenz, sodass ein Speicher von Embeddings der Daten Ihrer Nutzer selbst ein Speicher ihrer personenbezogenen Informationen ist. „Wir speichern nur Vektoren“ ist falscher Trost — und in Weaviate sitzen die Quell-Objekte ohnehin neben den Vektoren im Ruhezustand. |
| Residenz & Abfrage-Log-Exponierung | Ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen schuldet eine inländische Speicherpflicht (Cybersicherheitsgesetz Artikel 39, vormals Artikel 37), die ein Offshore-Index nicht erfüllen kann. Abfrage-Verkehr — die Suchzeichenfolgen, die Sie senden, und die zurückgegebenen passenden Datensätze — ist selbst personenbezogene Information, die sich in Logs ansammelt, wo auch immer der Cluster läuft. |
| Der rechtmäßige Weg | Erreichbarkeit ist nicht die Achse. Halten Sie den Index und die Embeddings im Land — hosten Sie die Open-Source-Weaviate-Datenbank (dieselbe Engine, die WCD betreibt) selbst auf Festland-Infrastruktur, oder nutzen Sie eine verwaltete Bereitstellung, die inländisch über einen lizenzierten lokalen Betreiber läuft — minimieren und pseudonymisieren Sie, was Sie vektorisieren, und liefern Sie die abfragende App inländisch auf ICP-gemeldeter Infrastruktur aus. 21YunBox kartiert, lokalisiert und liefert; rechtliche Schlüsse sitzen bei Ihrem Rechtsbeistand. |
Was Sie tatsächlich speichern — indexierter Inhalt und seine Embeddings
Weaviate ist keine zu rendernde Seite; es ist ein Speicher, den Sie mit Ihrem eigenen Inhalt füllen. Sie erstellen Collections und laden Daten-Objekte — Dokumente, Support-Tickets, Produktdatensätze, Wissensdatenbank-Artikel, Nutzerprofile — jedes mit Eigenschaften (dem rohen Text und Attributen), die Weaviate behält. Für jedes Objekt speichert Weaviate zudem ein oder mehr dichte Vektor-Embeddings, numerische Darstellungen, die ein Embedding-Modell aus dem Inhalt dieses Objekts erzeugt, was semantische und hybride Suche und Retrieval-Augmented Generation antreibt. Entscheidend ist, dass Weaviate beides behält: Sein eigenes Repository beschreibt es als eine „open-source vector database that stores both objects and vectors.“ Der Speicher hält also zwei Darstellungen der Informationen Ihrer Nutzer — die Quell-Objekte und die daraus abgeleiteten Vektoren. Wenn die Objekte Menschen in Festlandchina beschreiben — Namen, Nachrichten, Verhalten, Support-Historie — ist jedes davon personenbezogene Information, und die Embeddings sind auch personenbezogene Information (dazu unten mehr). Dies ist ein persistenter Datenspeicher im Ruhezustand, kein flüchtiger Aufruf.
Es ist ein Residenz- und Grenztransfer-Problem — und Embeddings anonymisieren es nicht — unter PIPL
Zwei Dinge beißen auf einmal, und die meisten Teams sehen nur eins. Erstens der grenzüberschreitende Transfer. In dem Moment, in dem Sie das Objekt eines Festlandchina-Nutzers in einen in den USA oder der EU gehosteten Weaviate-Cloud-Cluster indexieren, laden Sie seine personenbezogenen Informationen offshore hoch. Unter dem Gesetz zum Schutz personenbezogener Informationen ist das ein grenzüberschreitender Transfer personenbezogener Informationen (数据出境), und die Pflicht liegt bei Ihnen, dem Verarbeiter — nicht bei Weaviate. Artikel 38–40 verlangen Mitteilung, eine gesonderte Einwilligung, getrennt von allgemeinen Bedingungen, und einen Transfermechanismus: eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder Zertifizierung. Oberhalb der regulatorischen Schwellen, oder wo die Daten als „wichtige Daten“ gelten, kann die Datenexport-Sicherheitsbewertung (数据出境安全评估) gelten, bevor irgendetwas geht. Ein Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen schuldet zudem eine inländische Speicherpflicht unter Artikel 39 des Cybersicherheitsgesetzes (vormals Artikel 37 — der Datenlokalisierungs-Artikel wurde durch die Novelle 2025 umnummeriert, in Kraft seit 1. Januar 2026, mit unverändertem Inhalt), die ein Offshore-Index nicht erfüllen kann; der Abfrage-Verkehr — Suchzeichenfolgen und die Datensätze, die sie zurückgeben — fügt sein eigenes Log personenbezogener Informationen hinzu.
Zweitens — und das ist der Zinken, den die meisten Teams übersehen — Embeddings anonymisieren nichts. Ein Vektor-Embedding wird aus dem Quelltext oder -bild berechnet; es ist kein zufälliges Token und nicht anonym. Veröffentlichte Forschung zeigt, dass Embeddings der Inversion (Rekonstruktion annähernden Quellinhalts aus dem Vektor) und der Mitgliedschafts-Inferenz (Testen, ob ein bestimmter Datensatz im Speicher war) unterliegen, sodass eine Sammlung von Embeddings der Daten Ihrer Nutzer selbst eine Sammlung ihrer personenbezogenen Informationen ist, die dieselben Residenz- und Grenzpflichten trägt wie der rohe Text. „Wir senden nur Vektoren, keine Rohdaten“ ist falscher Trost — und in Weaviate ist der Punkt ohnehin müßig, denn es speichert die Quell-Objekte neben den Vektoren. Nichts davon dreht sich darum, wie schnell der Endpunkt antwortet; es dreht sich darum, ob der Inhalt Ihrer China-Nutzer eine rechtmäßige Grundlage hatte, das Land zu verlassen.
Den Endpunkt zu erreichen, ist nicht die Frage — den Index im Land zu halten, ist es
Also ist „Können wir Weaviate von China aus erreichen?“ der falsche Test. Die produktive Frage ist, wie man die Objekte und Embeddings Ihrer China-Nutzer auf einem rechtmäßigen, inländischen Fundament hält — und Weaviate gibt Ihnen einen ungewöhnlich starken Hebel, denn die Kern-Datenbank ist wirklich Open-Source. Weaviates eigene Installations-Dokumentation gibt an, es sei „available as a hosted service, Weaviate Cloud (WCD), or as a self managed instance,“ und dass „Self-managed instances use the same Weaviate Database as WCD.“ Die Kern-Datenbank ist BSD-3-Clause-lizenziert und läuft unter Docker oder Kubernetes — „Kubernetes is ideal for scalable, production deployments“ — sodass die identische Engine auf Festland-Infrastruktur laufen kann und den Index und die Embeddings im Land statt offshore hält. Seien Sie aber präzise bei der Lizenz: Der Weaviate-Datenbank-Kern ist BSD-3-Clause, während einige Enterprise-Add-ons im wl/-Ordner des Repositorys eine separate Weaviate License tragen — prüfen Sie, was Sie tatsächlich bereitstellen.
Der rechtmäßige Weg ist, den Datenspeicher im Ruhezustand im Land zu halten — hosten Sie die Open-Source-Engine selbst auf Festland-Infrastruktur, wo Sie die Betriebsfähigkeit haben, oder nutzen Sie eine verwaltete Bereitstellung, die inländisch über einen lizenzierten lokalen Betreiber läuft — und minimieren und pseudonymisieren Sie, was Sie vektorisieren (indexieren Sie den am wenigsten identifizierenden Inhalt, lassen Sie rohe Identifikatoren weg, die Sie nicht brauchen) und holen Sie die Einwilligung ein, die die Transferregeln verlangen. Was dies nicht ist, ist eine verdeckte Umleitung, die dieselben Objekte und Embeddings ohnehin offshore verschifft; das hält den Endpunkt reaktionsfähig und lässt jede PIPL-Pflicht genau dort, wo sie war. Dies ist eine Risikokarte, kein Urteil: Ob ein Transfermechanismus, inländische Speicherung oder ein überarbeiteter Einwilligungsfluss auf Ihre Bereitstellung zutrifft, hängt davon ab, was Sie indexieren, wie viel und über wen — klären Sie die Einzelheiten mit Rechtsbeistand, bevor Sie bauen.
Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern
Es gibt einen rechtmäßigen Weg, eine Vektordatenbank für ein China-zugewandtes Produkt zu betreiben, und er hat eine Form. Zuerst kartieren: Unser China-Team inventarisiert, was Sie in Weaviate laden — welche Objekte und Eigenschaften, welche personenbezogenen Informationen sie tragen, ob Embeddings personenbezogener Daten gespeichert werden (sie werden es), wo der Cluster läuft (eine WCD-Region oder selbst gehostet), die Abfrage-Log-Exponierung und auf welcher Einwilligungs-Grundlage China-Nutzer-Daten indexiert werden. Wir rahmen das technische Bild; Sie klären die rechtlichen Schlüsse mit Rechtsbeistand.
Dann lokalisieren: Halten Sie China-Nutzer-Objekte und -Embeddings im Land. Weil der Weaviate-Datenbank-Kern Open-Source ist, kann das bedeuten, die Engine innerhalb Chinas selbst zu hosten, wo Sie die Fähigkeit haben, sie zu betreiben und zu warten, oder eine verwaltete Bereitstellung zu nutzen, die inländisch über einen lizenzierten lokalen Betreiber läuft — in beiden Fällen minimieren und pseudonymisieren Sie, was Sie vektorisieren, und steuern jeden verbleibenden Transfer. Lokalisieren bedeutet, den Datenspeicher im Ruhezustand auf einem inländischen Weg zu halten — niemals eine verdeckte Umleitung, die die Daten ohnehin offshore verschifft. Wo eine Lizenz eine inländische verwaltete Option betrifft, sitzt das beim lizenzierten Betreiber und Ihrem Rechtsbeistand; 21YunBox ist dort beratend.
Dann ausliefern: Die China-zugewandte App, die den Index abfragt, ist selbst ein öffentlich zugewandter Dienst im Festland, trägt also eine ICP-Beian (备案)-Pflicht und braucht rechtskonforme, inländische Auslieferung — den 21YunBox Optimizer, vor dem Stack, den Sie bereits betreiben, ohne Neuaufbau und ohne Re-Plattformierung. Das Ergebnis ist ein Such- und Abruf-Setup, das für Ihre Nutzer in China rechtlich und rechtskonform läuft. 21YunBox nutzt oder empfiehlt niemals irgendeine Form der Umgehung. Wir sind ein rechtskonformes Overlay und Partner — kein Konkurrent von Weaviate.
Compliance-Einschätzung anfordern →
Weiterführende Lektüre:
- Grenzüberschreitende Datentransfers unter PIPL
- Chinas Cybersicherheitsgesetz (Datenlokalisierung, Artikel 39)
- Chinas Datenexport-Sicherheitsbewertung
- Wie Sie eine ICP-Beian für China erhalten
Häufige Fragen
Hat Weaviate ein Rechenzentrum oder eine Region in Festlandchina?
Nein. Weaviate Cloud (WCD) ist allgemein verfügbar auf AWS in US East (N. Virginia) und Europe (Frankfurt) und umspannt eine kleine Zahl von Cloud-Regionen, keine in Festlandchina. WCD für China-Nutzer zu betreiben, speichert daher ihre indexierten Objekte und Embeddings offshore, was ein grenzüberschreitender Transfer unter PIPL ist und — für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen — mit Chinas inländischer Speicherpflicht kollidiert. Der inländische Weg ist, die Open-Source-Weaviate-Datenbank selbst auf Festland-Infrastruktur zu hosten.
Sind Vektor-Embeddings nicht anonym — vermeidet das Speichern nur von Vektoren also PIPL?
Nein. Ein Embedding wird aus dem Quelltext oder -bild berechnet und ist offen für Inversion (Rekonstruktion annähernden Inhalts) und Mitgliedschafts-Inferenz, sodass ein Speicher von Embeddings der Daten Ihrer Nutzer selbst ein Speicher personenbezogener Informationen mit denselben Residenz- und Grenzpflichten ist. In Weaviate ist die Frage ohnehin müßig: Sein eigenes Repository beschreibt es als eine Datenbank, die „stores both objects and vectors,“ sodass die Quell-Objekte neben den Vektoren im Ruhezustand sitzen.
Können wir Weaviates Geschwindigkeit für China-Nutzer behalten und dennoch rechtskonform sein?
Den Endpunkt zu erreichen, war nie die Compliance-Frage; wo der Index lebt, ist es. Weil die Kern-Weaviate-Datenbank BSD-3-Clause-Open-Source und unter Docker oder Kubernetes selbst-hostbar ist, kann dieselbe Engine auf inländischer Infrastruktur laufen und die Objekte und Embeddings im Festland halten, während Sie minimieren und pseudonymisieren, was Sie indexieren, und jeden verbleibenden Transfer steuern. Die App, die sie abfragt, braucht weiterhin eine ICP-Beian und rechtskonforme inländische Auslieferung. Klären Sie die Einzelheiten mit Rechtsbeistand.
