Funktioniert Zuora in China? Datenresidenz, ICP & Grenz-Regeln

Was die offizielle Zuora-Dokumentation über China sagt

Fakt	Primärquelle
In Zuoras eigener Dokumentation: Seine Dienste laufen aus vier Rechenzentren — „US Cloud Data Center 1“ und „US Cloud Data Center 2“ (beide „located in North America“), das „EU Cloud Data Center“ (Deutschland) und das „APAC Cloud Data Center,“ dessen Daten „in the latest data center located in Japan“ gehostet werden. Keines ist in Festlandchina, die Billing-Daten eines China-Kunden werden also einer Offshore-Region zugewiesen.	Zuora Product Documentation — Zuora Data Centers, retrieved 2026-10-12
Zuoras eigenes Unterauftragsverarbeiter-Exhibit nennt Amazon Web Services als den Host von „customer tenant (which includes personal data collected by customers while using Zuora and Zephr services),“ und listet die Hosting-Standorte als Deutschland, Japan und die Vereinigten Staaten — ohne Festland-China-Standort. Die Mandanten-Daten Ihrer China-Kunden, einschließlich zahlungsbezogener personenbezogener Information, ruhen daher offshore.	Zuora — List of Data Center Location(s) and Subprocessors (sub-processor exhibit), retrieved 2026-10-12
Chinas Vorschriften zur Aufsicht und Verwaltung von Nicht-Bank-Zahlungsinstitutionen (Erlass Nr. 768 des Staatsrats, in Kraft am 1. Mai 2024) verlangen eine Zahlungsgeschäftslizenz, um Zahlungsdienste in China bereitzustellen; Artikel 2 verlangt, dass eine ausländische Institution, die grenzüberschreitende Zahlungsdienste an Nutzer in China bereitstellen will, eine Nicht-Bank-Zahlungsinstitution innerhalb Chinas gründet, und Artikel 19 verlangt inländische Transaktionsverarbeitung, Mittelabwicklung und Datenspeicherung innerhalb Chinas. Eine ausländische Abonnement-Plattform ist nicht diese lizenzierte Institution, die Geldbewegung muss also über einen lizenzierten inländischen Pfad laufen.	State Council Order No. 768 — Regulations on the Supervision and Administration of Non-Bank Payment Institutions, Articles 2 and 19
Die Identitäten und Zahlungsmethoden-personenbezogene-Information von China-Kunden offshore zu halten, ist ein grenzüberschreitender Transfer unter PIPL Artikel 38–40, obendrauf auf der Artikel-13/23-Mitteilung-und-gesonderte-Einwilligung-Pflicht, wobei Zahlungs- und Identitätsdetails sensible personenbezogene Information sein können (Artikel 28–29). Für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen verlangt Artikel 39 (vormals Artikel 37) des Cybersicherheitsgesetzes, dass in China erhobene personenbezogene Information im Festland gespeichert wird — was ein Offshore-Mandant nicht erfüllen kann.	PIPL Articles 13, 23, 28–29, 38–40; Cybersecurity Law Article 39 (formerly Article 37)

Quellen vom 21YunBox Compliance-Team am 12. Oktober 2026 geprüft.

Für ein Unternehmen, das Zuora betreibt, um eine Festland-China-Operation abzurechnen, ist die entscheidende Frage nicht, wie schnell die Billing-UI oder das Self-Service-Portal eines Kunden von Shanghai aus erscheint. Sie ist, wo Ihre Daten leben dürfen — und wer lizenziert ist, das Geld zu bewegen — denn Zuora ist das System of Record für Ihren China-Abonnement-Umsatz. Es hält die Identität jedes China-Kunden, den Sie abrechnen, ihre Abonnement- und Vertrags-Datensätze, ihre Rechnungen und Nutzung, die hinterlegten Zahlungsmethoden-Referenzen und den wiederkehrenden Umsatz, den diese Beziehungen darstellen. Zuora ist Offshore-Cloud-SaaS, gehostet in Rechenzentren in Nordamerika, Deutschland und Japan, ohne Region innerhalb Festlandchinas — all das wird also im Ausland gehalten und verarbeitet. Und weil dies Billing ist, öffnet sich eine zweite, kennzeichnende Tür: Eine ausländische Abonnement-Plattform ist keine lizenzierte China-Zahlungsinstitution, die tatsächliche Geldbewegung von Ihren China-Kunden muss also über einen lizenzierten inländischen Zahlungspfad laufen. Das macht dies zuerst zu einer Compliance-Risiko-Frage, nicht zu einer Leistungsfrage.

Zuora in China auf einen Blick

Was es tatsächlich hält — Ihr China-Abonnement-Umsatz und der Geldpfad

Zuora ist kein statisches Asset wie eine Schrift oder ein Skript; es ist der kommerzielle Kern Ihres China-Abonnement-Geschäfts, und es konzentriert genau die Arten von Daten und Tätigkeiten, die Chinas Recht wichtig sind. Auf der Datenseite hält es persönliche und kommerzielle Information: die Identitäten und Billing-Kontakte Ihrer China-Kunden, ihre Abonnement- und Vertrags-Datensätze, Rechnungen, Nutzung und die hinterlegten Zahlungsmethoden-Referenzen (Tokens und Gateway-Referenzen) zusammen mit dem wiederkehrenden Umsatz, den diese Beziehungen darstellen. Auf der Tätigkeitsseite — der Hälfte, die eine Erreichbarkeitsprüfung nie sieht — sitzt es rittlings auf der Geldbewegung: Zuora tarifiert Nutzung, erstellt Rechnungen und orchestriert den Einzug von Ihren China-Kunden. Weil Zuora Offshore-Cloud-SaaS ist, gehostet in Rechenzentren in Nordamerika, Deutschland und Japan, ruhen die Kunden- und Zahlungsdaten standardmäßig im Ausland; und weil Zuora keine lizenzierte chinesische Zahlungsinstitution ist, muss das Geld, das es orchestriert, über einen lizenzierten inländischen Kanal abgewickelt werden. Beide Hälften sind Compliance-Fragen, und keine wird dadurch beantwortet, dass die App schnell lädt.

Die Türen: Residenz, Zahlungs-Lizenzierung und ICP

Die erste Tür ist die Residenz personenbezogener Information. Die Kunden-Identitäten und Zahlungsmethoden-Details, die Ihr Zuora-Mandant von Menschen und Unternehmen in China erhebt, sind personenbezogene Information unter Chinas Gesetz zum Schutz personenbezogener Informationen, und sie in einem Offshore-Rechenzentrum zu halten, ist ein grenzüberschreitender Transfer (数据出境). Die Pflicht landet bei Ihnen, dem Verarbeiter, nicht bei Zuora: Artikel 13 und 23 verlangen Mitteilung und eine Grundlage, die Daten zu erheben, und Artikel 38–40 verlangen einen Transfermechanismus, um sie ins Ausland zu senden — eine CAC-Sicherheitsbewertung, den CAC-Standardvertrag oder Zertifizierung. Zahlungsmethoden- und Identitätsdetails können zu sensibler personenbezogener Information aufsteigen, wo PIPL-Artikel 28–29 einen Spezifischer-Zweck-, Erforderlichkeits- und Gesonderte-Einwilligung-Test hinzufügen. Und für einen Betreiber kritischer Informationsinfrastruktur oder Verarbeiter großer Mengen verlangt Artikel 39 des Cybersicherheitsgesetzes (vormals Artikel 37 — die Cybersicherheitsgesetz-Novelle 2025, in Kraft am 1. Januar 2026, nummerierte den Datenlokalisierungs-Artikel von 37 auf 39 um, Inhalt unverändert), dass in China erzeugte personenbezogene Information im Festland gespeichert wird, was ein Offshore-Mandant nicht erfüllen kann.

Die zweite Tür ist die, die eine Billing-Plattform von einer gewöhnlichen SaaS unterscheidet, und sie ist dort, wo eine Erreichbarkeitsprüfung am blindesten ist. Wiederkehrende Zahlung von Kunden in China einzuziehen, ist eine lizenzpflichtige Tätigkeit. Unter Chinas Vorschriften zur Aufsicht und Verwaltung von Nicht-Bank-Zahlungsinstitutionen (Erlass Nr. 768 des Staatsrats, in Kraft am 1. Mai 2024) erfordert die Bereitstellung von Zahlungsdiensten in China eine Zahlungsgeschäftslizenz (支付业务许可); Artikel 2 verlangt, dass eine ausländische Institution, die grenzüberschreitende Zahlungsdienste an Nutzer in China bereitstellen will, eine Nicht-Bank-Zahlungsinstitution innerhalb Chinas gründet; und Artikel 19 verlangt, dass inländische Transaktionsverarbeitung, Mittelabwicklung und Datenspeicherung innerhalb Chinas geschehen. Eine ausländische Abonnement-Plattform ist nicht diese lizenzierte Institution — Zuora tarifiert, rechnet ab und orchestriert den Einzug, aber die tatsächliche Geldbewegung für Ihre China-Kunden muss über einen lizenzierten inländischen Zahlungspfad laufen, mit Zuora obendrauf sitzend. Die Compliance-Frage hier ist zweifach: wo die Kunden- und Zahlungsdaten leben, und wer lizenziert ist, das Geld zu bewegen. Behandeln Sie die Einzelheiten als eine Frage für qualifizierten Rechtsbeistand, keine geklärte Klassifizierung — aber beachten Sie, dass ein Geschwindigkeitstest keine der Hälften beantwortet.

Die dritte Tür ist die ICP-Beian. Wenn Sie ein China-zugewandtes Billing-, Checkout- oder Kunden-Self-Service-Portal an Festland-Nutzer veröffentlichen, betreiben Sie einen öffentlichen Internet-Informationsdienst, und das löst eine ICP-Beian (ICP 备案)-Pflicht aus, gebunden an eine Hosting-Ressource physisch innerhalb des Festlands. Ein Zuora-gehostetes Portal läuft auf Offshore-Infrastruktur, es bietet also keinen eigenen ICP-Meldeweg — den Stack zu optimieren, schafft nicht das Festland-Fundament, das eine Meldung braucht.

Eine Erreichbarkeitsprüfung sieht dies nie

Zuora ist nicht die Art von Dienst, die einfach nicht in China lädt — die Exponierung ist leiser und dauerhafter als ein langsames Erscheinen. Selbst wenn die Billing-Konsole und das Kundenportal sofort öffneten, würde ihre Nutzung dennoch die Identitäten und zahlungsbezogene personenbezogene Information Ihrer China-Kunden außerhalb des Landes platzieren und die Geldbewegung dennoch einem Kanal überlassen, der offshore nicht lizenziert ist, sie in China auszuführen. Eine Erreichbarkeitsprüfung beantwortet „kam die Seite zurück?“; sie ist blind dafür, wo die Abonnement-Datensätze und Zahlungsmethoden-Daten zur Ruhe kommen und wer rechtmäßig das Geld bewegen darf. Wo die Daten leben und wer die Lizenz hält — nicht wie schnell die Seite ankommt — ist das, worauf Chinas Recht reagiert.

Dies ist eine Risiko-Karte, kein Urteil, dass Zuora in China „gesperrt“ oder „illegal“ ist. Welche Pflichten Ihren Fall beißen, hängt von Ihrer Gesellschaft, dem, was Ihr Mandant tatsächlich hält, Ihrer Rolle unter chinesischem Recht, Ihren Datenvolumina und davon ab, wie Sie Zahlungen von China-Kunden erheben — es lohnt sich, die Einzelheiten mit Rechtsbeistand zu klären, bevor Ihr China-Umsatz davon abhängt.

Der rechtmäßige Weg — kartieren, lokalisieren, ausliefern

Es gibt einen rechtskonformen Weg, Abonnement-Billing für eine China-Operation zu betreiben, und er sitzt vor dem Zuora, das Ihr Team bereits nutzt — ohne Neuaufbau, ohne zweites System, ohne Migration.

Zuerst kartieren: Unser China-Team inventarisiert, was Ihr Zuora-Mandant hält — die Kunden-Identitäten, Abonnement- und Vertrags-Datensätze, Rechnungen, Nutzung und Zahlungsmethoden-Referenzen und jedes China-zugewandte Portal —, stellt fest, wo es gehostet ist (eine Offshore-Zuora/AWS-Region), den ICP-Status jedes öffentlichen Portals und die Einwilligungs-, Residenz- und Zahlungs-Lizenzierungs-Grundlage, auf die sich jeder Fluss stützt. Wir bauen das technische Bild; die rechtlichen Schlüsse werden mit Rechtsbeistand geklärt.

Dann lokalisieren/governen: Wir helfen Ihnen, die regulierten Daten — Kunden- und zahlungsbezogene personenbezogene Information — auf einem rechtmäßigen inländischen Pfad zu halten, die Artikel-13/23-Mitteilung-und-Einwilligung einzuholen und die tatsächliche Geldbewegung durch einen lizenzierten inländischen Zahlungspfad und -abwicklung zu leiten statt durch einen Offshore-Kanal. Lokalisieren bedeutet, die Daten und den Geldpfad im Land zu halten — nie eine Route, die still eines von beiden über die Grenze verschifft.

Dann ausliefern: Jedes öffentliche China-zugewandte Billing- oder Self-Service-Portal ist ein Internet-Informationsdienst, es trägt also eine ICP-Beian-Pflicht, gebunden an Festland-Hosting, und braucht rechtskonforme, inländische Auslieferung. 21YunBox stellt das auf — den 21YunBox Optimizer — vor dem, was Sie bereits betreiben, sodass es Ihre Nutzer in China rechtlich und rechtskonform bedient. 21YunBox nutzt oder empfiehlt niemals irgendeine Form der Umgehung — wir halten im Land, was das Recht sagt, dass es bleiben muss, liefern den Rest rechtskonform von innerhalb des Festlands aus und bewegen personenbezogene Information nie heimlich über die Grenze. Einen Offshore-Mandanten bloß erreichbar zu machen, ist nicht die Antwort; die regulierten Daten im Land zu halten, einen lizenzierten inländischen Zahlungspfad zu nutzen, das Portal ICP zu melden und es rechtskonform auszuliefern, ist es. 21YunBox ist ein Compliance-Overlay und Partner der Billing-Plattform, die Sie bereits betreiben, kein Konkurrent zu ihr.

Compliance-Einschätzung anfordern →

---

Weiterführende Lektüre:

• Wie Sie eine ICP-Beian für China erhalten
• Grenzüberschreitende Datentransfers unter PIPL
• Chinas Gesetz zum Schutz personenbezogener Informationen (PIPL)
• Chinas Cybersicherheitsgesetz
• Vorschriften zu Nicht-Bank-Zahlungsinstitutionen (Erlass Nr. 768)

Häufige Fragen

Speichert Zuora die Daten chinesischer Kunden in China?

Nein. Nach Zuoras eigener Dokumentation sind seine Rechenzentren in Nordamerika, Deutschland (EU) und Japan (APAC), und sein Unterauftragsverarbeiter-Exhibit listet Kunden-Mandanten-Daten, gehostet auf AWS in Deutschland, Japan und den Vereinigten Staaten — keines in Festlandchina. Die Identitäten, Abonnement-Datensätze, Rechnungen und Zahlungsmethoden-Referenzen, die Sie von China-Kunden erheben, werden also offshore gespeichert, was PIPL als grenzüberschreitenden Transfer personenbezogener Information behandelt.

Reicht es nicht, Zuora in China schnell laden zu lassen?

Nein. Erreichbarkeit und Geschwindigkeit sind betrieblich, nicht die Compliance-Frage. Selbst wenn die Billing-UI und das Kundenportal sofort laden würden, würden die personen- und zahlungsbezogenen Daten Ihrer China-Kunden dennoch im Ausland sitzen, und die Geldbewegung würde dennoch einen lizenzierten inländischen Zahlungspfad brauchen. Worauf Chinas Recht reagiert, ist, wo die Daten leben und wer lizenziert ist, das Geld zu bewegen — keines davon kann ein Geschwindigkeitstest sehen. Behandeln Sie es als ein Risiko, das mit Rechtsbeistand zu bestätigen ist, kein pauschales Verbot.

Kann 21YunBox helfen, unser Zuora-Setup in China rechtskonform zu machen?

Ja. Unser China-Team kartiert, was Ihr Zuora-Mandant hält und wo es ruht, hilft Ihnen, die regulierten Kunden- und Zahlungsdaten auf einem rechtmäßigen inländischen Pfad neben einem lizenzierten inländischen Zahlungskanal für die tatsächliche Geldbewegung zu halten, und stellt ICP-gemeldete, inländische Auslieferung vor jedem China-zugewandten Billing- oder Self-Service-Portal auf — ohne Neuaufbau, ohne Migration weg von Zuora. Nehmen Sie Kontakt auf, um Ihren konkreten Fall durchzuarbeiten.