Framework
German Whistleblower Protection Act (HinSchG)
Companies with usually 50 or more employees must run an internal reporting office, certain financial companies regardless of their size. Complass brings both: the reporting channel, through which reports can also arrive anonymously, and the framework that guides you from set-up to evidence.
This framework is also available on its own with a fixed scope: also as an individual package
What does the HinSchG cover?
The Whistleblower Protection Act (HinSchG) protects people who have obtained information about violations in a work-related context and report it. It transposes the EU Whistleblower Directive (EU) 2019/1937 into German law. Employers must set up an internal reporting office, treat reports confidentially, meet deadlines and protect whistleblowers against reprisals.
Does it apply to me?
The obligation applies to private and public employers with usually at least 50 employees. Regardless of size it applies, among others, to credit institutions, investment firms, asset management companies and insurance undertakings. Smaller companies can offer a reporting channel voluntarily; that builds trust and gives concerns a way in before they go out.
The reporting office can consist of your own employees or be entrusted to a third party, for example a law firm acting as ombudsperson. Companies with 50 to 249 employees can share a joint office. The duty to remedy violations and to give the whistleblower feedback always stays with the company itself.
This overview does not replace legal advice. The legal or normative text is authoritative; in Complass you check applicability with guidance based on the references.
Legal basis
- § 12 HinSchG§ 12 HinSchG Pflicht zur Einrichtung interner Meldestellen(1) Beschäftigungsgeber haben dafür zu sorgen, dass bei ihnen mindestens eine Stelle für interne Meldungen eingerichtet ist und betrieben wird, an die sich Beschäftigte wenden können (interne Meldestelle). Ist der Bund oder ein Land Beschäftigungsgeber, bestimmen die obersten Bundes- oder Landesbehörden Organisationseinheiten in Form von einzelnen oder mehreren Behörden, Verwaltungsstellen, Betrieben oder Gerichten. …Open original (gesetze-im-internet.de) ↗Obligation to set up internal reporting offices
- § 14 HinSchG§ 14 HinSchG Organisationsformen interner Meldestellen(1) Eine interne Meldestelle kann eingerichtet werden, indem eine bei dem jeweiligen Beschäftigungsgeber oder bei der jeweiligen Organisationseinheit beschäftigte Person, eine aus mehreren beschäftigten Personen bestehende Arbeitseinheit oder ein Dritter mit den Aufgaben einer internen Meldestelle betraut wird. Die Betrauung eines Dritten mit den Aufgaben einer internen Meldestelle entbindet den betrauenden …Open original (gesetze-im-internet.de) ↗Own employees, third parties or a joint office
- § 16 HinSchG§ 16 HinSchG Meldekanäle für interne Meldestellen(1) Nach § 12 zur Einrichtung interner Meldestellen verpflichtete Beschäftigungsgeber richten für diese Meldekanäle ein, über die sich Beschäftigte und dem Beschäftigungsgeber überlassene Leiharbeitnehmerinnen und Leiharbeitnehmer an die internen Meldestellen wenden können, um Informationen über Verstöße zu melden. Ist der Beschäftigungsgeber der Bund oder ein Land, gilt Satz 1 für die jeweiligen …Open original (gesetze-im-internet.de) ↗Reporting channels: in text form and orally, access only for those responsible
- § 17 HinSchG§ 17 HinSchG Verfahren bei internen Meldungen(1) Die interne Meldestelle - 1. bestätigt der hinweisgebenden Person den Eingang einer Meldung spätestens nach sieben Tagen, - 2. prüft, ob der gemeldete Verstoß in den sachlichen Anwendungsbereich nach § 2 fällt, - 3. hält mit der hinweisgebenden Person Kontakt, - 4. prüft die Stichhaltigkeit der eingegangenen Meldung, - 5. ersucht die hinweisgebende Person erforderlichenfalls um weitere Informationen und - 6. …Open original (gesetze-im-internet.de) ↗Procedure: acknowledgement within seven days, feedback within three months
- § 8 HinSchG§ 8 HinSchG Vertraulichkeitsgebot(1) Die Meldestellen haben die Vertraulichkeit der Identität der folgenden Personen zu wahren: - 1. der hinweisgebenden Person, sofern die gemeldeten Informationen Verstöße betreffen, die in den Anwendungsbereich dieses Gesetzes fallen, oder die hinweisgebende Person zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme hatte, dass dies der Fall sei, - 2. der Personen, die Gegenstand einer Meldung sind, und - …Open original (gesetze-im-internet.de) ↗Duty of confidentiality
- § 36 HinSchG§ 36 HinSchG Verbot von Repressalien; Beweislastumkehr(1) Gegen hinweisgebende Personen gerichtete Repressalien sind verboten. Das gilt auch für die Androhung und den Versuch, Repressalien auszuüben. (2) Erleidet eine hinweisgebende Person eine Benachteiligung im Zusammenhang mit ihrer beruflichen Tätigkeit und macht sie geltend, diese Benachteiligung infolge einer Meldung oder Offenlegung nach diesem Gesetz erlitten zu haben, so wird vermutet, dass diese …Open original (gesetze-im-internet.de) ↗Prohibition of reprisals, reversal of the burden of proof
- § 40 HinSchG§ 40 HinSchG Bußgeldvorschriften(1) Ordnungswidrig handelt, wer wissentlich entgegen § 32 Absatz 2 eine unrichtige Information offenlegt. (2) Ordnungswidrig handelt, wer - 1. entgegen § 7 Absatz 2 eine Meldung oder dort genannte Kommunikation behindert, - 2. entgegen § 12 Absatz 1 Satz 1 nicht dafür sorgt, dass eine interne Meldestelle eingerichtet ist und betrieben wird, oder - 3. entgegen § 36 Absatz 1 Satz 1, auch in Verbindung mit § 34, eine …Open original (gesetze-im-internet.de) ↗Fines
Key dates
- HinSchG in force · Art. 10(2) of the Act of 31.05.2023§ 42 HinSchG Übergangsregelung(1) Abweichend von § 12 Absatz 1 müssen private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten ihre internen Meldestellen erst ab dem 17. Dezember 2023 einrichten. Satz 1 gilt nicht für die in § 12 Absatz 3 genannten Beschäftigungsgeber. (2) § 40 Absatz 2 Nummer 2 ist erst ab dem 1. Dezember 2023 anzuwenden.Open original (gesetze-im-internet.de) ↗
- Fine for a missing internal reporting office applicable · § 42(2) HinSchG§ 42 HinSchG Übergangsregelung(1) Abweichend von § 12 Absatz 1 müssen private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten ihre internen Meldestellen erst ab dem 17. Dezember 2023 einrichten. Satz 1 gilt nicht für die in § 12 Absatz 3 genannten Beschäftigungsgeber. (2) § 40 Absatz 2 Nummer 2 ist erst ab dem 1. Dezember 2023 anzuwenden.Open original (gesetze-im-internet.de) ↗
- Obligation to have an internal reporting office also for private employers with 50 to 249 employees · § 42(1) HinSchG§ 42 HinSchG Übergangsregelung(1) Abweichend von § 12 Absatz 1 müssen private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten ihre internen Meldestellen erst ab dem 17. Dezember 2023 einrichten. Satz 1 gilt nicht für die in § 12 Absatz 3 genannten Beschäftigungsgeber. (2) § 40 Absatz 2 Nummer 2 ist erst ab dem 1. Dezember 2023 anzuwenden.Open original (gesetze-im-internet.de) ↗
Two deadlines run for every single report: the reporting office acknowledges receipt within seven days at the latest and gives feedback within three months of the acknowledgement. Failing to set up a reporting office risks a fine of up to 20,000 euros; reprisals and breaches of confidentiality can cost up to 50,000 euros, for companies up to ten times as much.
How Complass helps
- 10phases
- 19guided steps
- 5document templates
- 31requirements in the catalogue
Ten phases from applicability to effectiveness
Check applicability, set up the reporting office and channel, define the procedure, inform employees, confidentiality and data protection, documentation and deletion, protection against reprisals, effectiveness review, and fines and liability.
Requirements catalogue with the legal text
The requirements of the HinSchG with status, owner and evidence per requirement, each with the wording of the law to look up.
Templates
Whistleblower policy, procedure for the reporting office, appointment of the reporting office, privacy notice and the information on external reporting offices.
Training for employees and the reporting office
Employees learn how to report a concern and how the law protects them; the reporting office learns procedure, deadlines and confidentiality. With a participation certificate as evidence.
Price: the reporting channel and the HinSchG framework are included in the baseline protection of every plan, at no extra charge. To the prices
The phases in the module
- Check applicability
- Set up the internal reporting office (HinSchG)
- Set up the reporting channel
- Define the procedure
- Inform employees
- Confidentiality and data protection
- Documentation and deletion
- Protection against reprisals
- Review effectiveness
- Fines and liability
Catalogue: Requirements of the Whistleblower Protection Act
Matching modules
Compliance management
Implement frameworks with guidance: phases, templates, document pyramid, catalogues, gap analysis, objectives and action plan up to the audit in the auditor portal.
Learn moreIncident management
Record incidents, check reporting obligations under NIS2, the CRA and the GDPR and track the reporting deadlines with a countdown.
Learn moreRisk management
Risk register with qualitative or quantitative assessment, risk appetite and treatment plan, linked to assets, vulnerabilities and incidents.
Learn moreThe reporting channel
The law requires that only those responsible have access to reports. Complass is built for this from the ground up: you publish an address, for example on the intranet, and employees also find the way on their page in the employee access.
Anonymous, without IP address
The reporting page stores no IP address and no device data and uses no sign-in, even if someone is signed in to Complass in the same browser. Everything that comes from the whistleblower carries only the date, no time.
Mailbox with receipt code and access key
After submitting, the person receives a receipt code and an access key. With them they read replies, answer questions and add documents without giving their name.
Only the reporting office sees the content
Texts, names and attachments are encrypted per company. Management, administrators and Complass support see no reports; management only receives quarterly figures. Anyone personally involved is excluded from the case.
Deadlines with reminders
Complass calculates the acknowledgement after seven days and the feedback after three months for every report and reminds the reporting office in good time. The emails contain no content.
Also by phone and in person
The reporting page shows the phone number and how to arrange a personal meeting. The reporting office records oral reports in the same system, with a record and consent.
Own employees or an ombudsperson
You name the members of the reporting office. Up to three of them, internal or external such as an ombudsperson, get an access that takes no user seat and shows only the whistleblower system. Complass deletes closed cases automatically after three years, keeping them longer only with a reason.
Your company’s network logs (proxy, VPN) are outside Complass. The reporting page therefore recommends using a private device and a private network for an anonymous report.
Frequently asked questions
Do we have to accept anonymous reports?
The law does not oblige you to, but the reporting office should process anonymous reports. Complass offers the anonymous route by default because it lowers the threshold; anyone who wishes can give their name voluntarily.
Can our management read the reports?
Only if it is itself part of the reporting office. Administrators name the reporting office but see no content. Every change in the line-up is visible to the existing members at once, so nobody can read along unnoticed.
We have fewer than 50 employees. Is it worth it?
For most smaller companies the obligation does not apply, financial companies excepted. Because the channel and the framework are included in the baseline protection, you can still offer the channel at no extra cost.
Does Complass replace a legal review?
No. Complass provides the reporting channel, procedure and evidence; how a reported violation is to be assessed legally is decided by your reporting office case by case.
Try Complass with your own data
Set up your trial yourself, with a sample project per framework if you like. If you would rather see Complass first, request a demo.