SMS For UEnglish

Datenschutzerklärung

Stand: 4. Oktober 2026

1. Verantwortlicher

L&L Synergy FlexCo, Preradovicgasse 15, 1140 Wien, FN 650676b, Handelsgericht Wien.
Kontakt: robin@smsforu.app. Vollständige Angaben im Impressum.

Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des Art. 37 DSGVO liegen nicht vor.

2. Was wir verarbeiten, wozu und wie lange

Gastkennung (kein Konto)

Bei SMS For U gibt es kein Konto und keine Anmeldung. Wir fragen weder Namen noch E-Mail-Adresse ab. Damit wir Ihnen eine gekaufte Nummer zuordnen können, erhält jeder Browser und jedes Gerät eine zufällige Kennung:

  • Website: Ihr Browser erhält beim ersten Aufruf ein Cookie „sms_geraet“ mit einer Zufallskennung (nur für diese Website, für Skripte nicht lesbar, 400 Tage).
  • iPhone-App: Die App erzeugt beim ersten Start eine Zufallskennung und legt sie im Schlüsselbund dieses Geräts ab; sie wird nicht auf andere Geräte übertragen.
  • Android-App: Die App leitet die Kennung als Hashwert aus der Android-ID ab, die Android unserer App gesondert zuteilt; fehlt sie, erzeugt die App eine Zufallskennung.

Daraus bilden wir Ihre Gastkennung. An ihr hängen Ihre Käufe, Ihre Support-Anfragen, Ihre Mitteilungen, der Schutz vor Missbrauch und Ihre Entscheidung zur Werbemessung. Ein Kauf ist deshalb nur in dem Browser beziehungsweise auf dem Gerät sichtbar, mit dem Sie ihn gemacht haben.

Zweck: Ihnen die gekaufte Nummer zuordnen, Support führen und Ihre Entscheidungen merken.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für das Speichern und Auslesen der Kennung auf Ihrem Gerät § 165 Abs. 3 TKG 2021 (unbedingt erforderlich).
Dauer: das Cookie 400 Tage; die Gastkennung so lange, wie die daran hängenden Daten aufbewahrt werden — Kaufbelege sieben Jahre, Sicherheitsnachweise drei Jahre.

Bestellungen

Zugeteilte Rufnummer — nach einem kostenlosen Tausch auch die vorherigen —, Zieldienst, Land der Nummer, Zeitpunkt, Ausgang (Code erhalten, getauscht, storniert, erstattet), Zahlungsweg (Website, App Store oder Google Play) und Preis als Geldbetrag mit Währung. Dazu technische Angaben zur Beschaffung: welcher Lieferant die Nummer geliefert hat, dessen Auftragskennung, der Netzbetreiber und unser Einkaufspreis, sowie Ihre Sprache und Ihr Aufenthaltsland.

Zweck: die Leistung erbringen (Nummer reservieren, Code anzeigen, Tausch und Erstattung), Erfolgsquoten berechnen, Einkauf und Erstattung mit dem Lieferanten abwickeln, Support-Anfragen beantworten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Dauer: als Teil des Kaufbelegs sieben Jahre ab dem Ende des Kalenderjahres des Kaufs (§ 132 BAO).

Inhalt empfangener Nachrichten

Der Text einer eingegangenen Nachricht samt Absender und Bestätigungscode.

Zweck: ihn Ihnen anzeigen. Danach gibt es keinen Zweck mehr.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Dauer: rund 24 Stunden nach Eingang. Danach werden Text, Code und Absender automatisch entfernt. Die Bestellung selbst — Nummer, Dienst, Zeitpunkt — bleibt bestehen; nur der Inhalt verschwindet.

Zahlungen

Käufe in der iPhone-App wickelt Apple ab (In-App-Kauf), Käufe in der Android-App Google (Google Play), Käufe auf der Website die Revolut Bank UAB (Karte, Apple Pay, Google Pay oder Revolut Pay). Zahlungsdaten wie Karten- oder Kontonummern sehen wir nicht.

Bei einem Kauf auf der Website übermitteln wir an Revolut nur den Betrag, die Währung, eine Bezeichnung der Leistung und unsere Belegnummer — keinen Namen und keine E-Mail-Adresse, denn wir fragen beides gar nicht ab. Namen, Karten- oder Wallet-Daten und E-Mail-Adresse erhebt Revolut bei der Zahlung selbst.

Von Revolut erhalten wir zurück: die Bestätigung der Zahlung mit Betrag und Währung, die E-Mail-Adresse des Zahlers und das Land der Karte beziehungsweise der Rechnungsanschrift. Die E-Mail-Adresse verwenden wir ausschließlich, um Ihnen die gesetzlich vorgeschriebene Kaufbestätigung zu senden und auf eine Antwort darauf zu reagieren. Das Kartenland brauchen wir als zweiten, von der IP-Adresse unabhängigen Nachweis Ihres Aufenthaltslandes für die Umsatzsteuer.

Wie Revolut Ihre Daten verarbeitet, steht im Datenschutzhinweis von Revolut: www.revolut.com/legal/privacy.

Bei einem Kauf in einer App übergibt die App dem Store eine aus Ihrer Gastkennung abgeleitete, pseudonyme Kaufkennung (nicht die Gastkennung selbst), bei Google Play zusätzlich unsere Belegnummer, damit der Kauf Ihrer Nummer zugeordnet werden kann. Vom Store erhalten wir einen Kaufnachweis mit Transaktions- beziehungsweise Bestellnummer, gekauftem Artikel und Store-Land; wir prüfen ihn, bevor wir die Nummer freischalten.

Als Nachweis Ihrer Zustimmung speichern wir zu jedem Kauf Zeitpunkt, Textfassung der Zustimmung, die Fassung der Nutzungsbedingungen und die IP-Adresse, auf der Website auch das Land des Kaufs.

Zweck: den Kauf abwickeln, die Nummer freischalten, Erstattungen auslösen, Buchhaltung und Umsatzsteuer.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.
Dauer: sieben Jahre ab dem Ende des Kalenderjahres des Kaufs (§ 132 BAO); danach wird der Beleg automatisch gelöscht.

Kaufbestätigung (Website)

Nach einem Kauf auf der Website senden wir Ihnen eine Kaufbestätigung mit Bestellnummer, Zeitpunkt, Leistung, Preis, unseren Anbieterangaben und dem Hinweis auf Ihre Zustimmung zur sofortigen Bereitstellung. Die dafür nötige E-Mail-Adresse erheben wir nicht bei Ihnen — wir erhalten sie von Revolut aus Ihrer Zahlung. Wir verwenden sie ausschließlich für diese Bestätigung und für eine Antwort, wenn Sie darauf schreiben; Werbung senden wir daran nicht.

Zweck: gesetzliche Pflicht zur Vertragsbestätigung auf einem dauerhaften Datenträger (§ 7 Abs. 3 FAGG).
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO, daneben lit. b.
Dauer: mit dem Beleg sieben Jahre (§ 132 BAO).

Erstattungen

Wird ein Kauf erstattet, gilt je nach Zahlungsweg: Website: Wir veranlassen die Erstattung bei Revolut auf das ursprüngliche Zahlungsmittel. Android-App: Wir veranlassen die Erstattung bei Google Play; Google erhält dafür von uns die Bestellnummer des Kaufs. iPhone-App: Erstatten kann nur Apple, auf Ihren Antrag.

Beantragen Sie bei Apple eine Erstattung, kann Apple uns fragen, ob die Leistung geliefert wurde. Nur dann übermitteln wir für diesen Kauf: den Lieferstatus (ob ein Code geliefert wurde), den davon abhängigen verbrauchten Anteil und unsere Präferenz zur Erstattung — ohne Code erstatten, mit Code ablehnen. Empfänger ist Apple Distribution International Ltd., Irland, beziehungsweise der App Store, über den Sie bezahlt haben. Über die Erstattung entscheidet Apple, nicht wir. Wird erstattet, teilt Apple uns das mit, und wir vermerken es am Beleg.

Zweck: Abwicklung des Kaufs und Schutz vor missbräuchlichen Erstattungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. f DSGVO (berechtigtes Interesse, Erstattungen bereits gelieferter Codes zu verhindern) sowie Ihre Einwilligung, die Sie mit der Annahme der Nutzungsbedingungen erteilen (Art. 6 Abs. 1 lit. a DSGVO).
Dauer: wie bei den Zahlungen sieben Jahre (§ 132 BAO).

Sicherheit und Missbrauchsschutz

Zu jeder Gastkennung: eine pseudonyme Gerätekennung (in der iPhone-App aus der app-eigenen Zufallskennung abgeleitet, unter Android aus der Android-ID, im Browser aus dem Cookie „sms_geraet“), die IP-Adresse, im Web das daraus ermittelte Land, Plattform und App- beziehungsweise Browserkennung sowie Zeitpunkt und Art jeder Handlung — Zustimmung zu Bedingungen, Entscheidung zur Werbemessung, Kauf, Bestellung (mit Rufnummer, Dienst und Land), Tausch, Stornierung, Anmeldung für Mitteilungen, Support-Nachricht (ohne Inhalt). Außerdem, welche Gastkennungen dasselbe Gerät oder dieselbe IP-Adresse nutzen, und ausgesprochene Sperren.

Zweck: Betrug und Missbrauch verhindern, Sperren durchsetzen — auch gegen neue Gastkennungen derselben Person —, Rechtsansprüche geltend machen oder abwehren und rechtmäßigen Anordnungen von Behörden nachkommen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem missbrauchsfreien Dienst und an der Verteidigung von Rechtsansprüchen) sowie lit. c, soweit eine gesetzliche Pflicht besteht.
Dauer: drei Jahre ab dem jeweiligen Ereignis (Verjährungsfrist nach § 1489 ABGB), auch nach einer Löschung auf Ihr Verlangen; danach automatisch gelöscht. Eine Sperre bleibt gespeichert, solange sie gilt.

Die Geräte- beziehungsweise Gastkennung ist keine Werbe-ID und wird von uns nicht mit Daten Dritter angereichert. Sie dient dem Betrieb und dem Missbrauchsschutz — und, wenn Sie in die Werbemessung eingewilligt haben, zusätzlich als Wiedererkennungsmerkmal gegenüber Meta und Google. Dorthin geht sie ausschließlich als Hashwert, nie im Klartext. Haben Sie nicht eingewilligt oder Ihre Einwilligung widerrufen, unterbleibt das. Einzelheiten stehen unter „Werbemessung“.

Support-Chat

Ihre Nachrichten an uns und unsere Antworten, jeweils mit Zeitpunkt, und die Plattform (Website, iPhone oder Android), von der Sie schreiben.

Zweck: Ihre Anfrage beantworten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Dauer: Der Verlauf hängt an Ihrer Gastkennung; wir bewahren ihn nur so lange auf, wie er zur Beantwortung und zur Abwehr von Missbrauch nötig ist, und löschen ihn jederzeit auf Ihr Verlangen — im Support-Chat oder an robin@smsforu.app.

KI-Assistentin im Support-Chat

Nachrichten im Support-Chat beantwortet zunächst unsere KI-Assistentin „Luna“, ein Sprachmodell von OpenAI, das wir über die Programmierschnittstelle (API) von OpenAI nutzen. Luna stellt sich in ihrer ersten Antwort als KI-Assistentin vor. Kann sie nicht helfen oder wünschen Sie einen Menschen, gibt sie Ihre Anfrage an einen Mitarbeiter weiter, der im selben Chat antwortet. Sie können jederzeit verlangen, dass ein Mensch Ihre Anfrage bearbeitet — schreiben Sie das einfach in den Chat. Auch nach einer Weitergabe und nach einer Antwort eines Mitarbeiters kann Luna weitere Nachrichten beantworten. Ist die KI ausgeschaltet oder nicht verfügbar, geht Ihre Nachricht direkt an unser Team.

Was OpenAI erhält: die Nachrichten des Chats, die Sie gerade sehen (Ihre und unsere, höchstens die letzten 24), die Plattform, von der Sie schreiben, und den Stand Ihrer eigenen Käufe der letzten 60 Tage mit dieser Gastkennung (höchstens acht): Dienst, Land, Kaufzeitpunkt, Zahlungsweg, Zahl der versuchten Nummern, ob ein Code kam und ob das Geld zurück ist, bei Käufen auf der Website auch den bezahlten Betrag.

Was OpenAI nicht erhält: Rufnummern, Codes, Ihre Gastkennung, Beleg- oder Bestellnummern, Ihre E-Mail-Adresse, Zahlungsdaten und Ihre IP-Adresse — es sei denn, solche Angaben stehen in den Nachrichten des Chats selbst. Bitte schreiben Sie keine Passwörter oder Zahlungsdaten in den Chat.

Die KI trifft keine Entscheidungen über Sie: Sie kann nichts erstatten, keinen Kauf ändern und niemanden sperren. Zu jeder Anfrage hält sie für unser Team eine kurze Zusammenfassung auf Deutsch fest, die mit dem Verlauf gespeichert wird. Gibt sie Ihre Anfrage an einen Menschen weiter, erhält unser Team eine Mitteilung mit dieser Zusammenfassung.

Wir rufen OpenAI so auf, dass Anfragen und Antworten dort nicht für einen späteren Abruf gespeichert werden. Nach den Bedingungen von OpenAI werden über die API übermittelte Daten nicht zum Training von Modellen verwendet; zur Erkennung von Missbrauch bewahrt OpenAI sie bis zu 30 Tage auf, außer eine längere Aufbewahrung ist gesetzlich vorgeschrieben.

Zweck: Ihre Anfrage schnell und in Ihrer Sprache beantworten und sie bei Bedarf an einen Menschen weitergeben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung Ihrer Anfrage zum Vertrag) und lit. f DSGVO (berechtigtes Interesse an einer schnellen und effizienten Beantwortung von Support-Anfragen).
Empfänger: OpenAI Ireland Ltd., Irland, als unser Auftragsverarbeiter (siehe Punkt 4).
Dauer: Zusammenfassung und Verlauf wie beim Support-Chat; bei OpenAI wie oben beschrieben.

Mitteilungen

Wenn Sie Mitteilungen erlauben: in den Apps das Push-Token Ihres Geräts, auf der Website das Push-Abonnement Ihres Browsers, bei Android und auf der Website zusammen mit Ihrer Sprache.

Zweck: Sie über eingegangene Codes und Antworten des Supports informieren. Eine Mitteilung enthält den Namen des Dienstes und den Code beziehungsweise den Anfang der Support-Antwort, in einer Live-Aktivität auf dem iPhone auch Absender und Restlaufzeit. Zugestellt wird sie über den Mitteilungsdienst von Apple (iPhone), von Google (Firebase Cloud Messaging, Android) oder des Herstellers Ihres Browsers (Website; dort verschlüsselt, sodass der Dienst den Inhalt nicht lesen kann).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Dauer: bis Sie die Mitteilungen abmelden oder der Mitteilungsdienst die Anmeldung als ungültig meldet, etwa weil die App gelöscht wurde; ein Browser-Abonnement höchstens 180 Tage.

Cookies und Speicher im Browser

Unbedingt erforderlich. Das Cookie „sms_geraet“ mit Ihrer Gastkennung (Zufallswert, für Skripte nicht lesbar, 400 Tage, nur für diese Website). Ohne es können wir Ihnen eine gekaufte Nummer nicht zuordnen, keinen Support führen und keinen Missbrauch abwehren. Ist der Zugang gesperrt, setzt die Seite für zehn Minuten zusätzlich das Cookie „sms_hinweis“, um das anzuzeigen.
Rechtsgrundlage: § 165 Abs. 3 TKG 2021 sowie Art. 6 Abs. 1 lit. b und f DSGVO.

Im Speicher Ihres Browsers, kein Cookie. Nach einem Kauf legt die Seite unter dem Schlüssel „sms-gast-kauf“ Ihre Belegnummer und ein zufälliges Geheimnis ab, mit dem nur Ihr Browser diesen Kauf abrufen kann, dazu Dienst, Land, Preis, Währung und Zeitpunkt. Diese Angaben bleiben bis zu 30 Tage in Ihrem Browser, werden an niemanden übertragen und dienen allein dazu, Ihnen Ihren Kauf zu zeigen. Löschen Sie sie, sehen Sie den Kauf nicht mehr; eine fällige Erstattung läuft dennoch.

Nur mit Ihrer Einwilligung. Cookies von Google, Meta und OpenAI sowie zwei Zufallskennungen für unsere eigene Nutzungsauswertung (siehe „Werbemessung“).
Rechtsgrundlage: Ihre Einwilligung, § 165 Abs. 3 TKG 2021 und Art. 6 Abs. 1 lit. a DSGVO.

Werbemessung (Tracking)

Nur mit Ihrer Einwilligung (Ausnahme: „Vor Ihrer Entscheidung“ unten). Mit Meta Platforms Ireland Ltd., Google Ireland Ltd. und OpenAI Ireland Ltd. messen wir, welche unserer Anzeigen Kunden bringen. In der EU, im EWR, im Vereinigten Königreich und in der Schweiz fragen wir vorher; anderswo ist die Messung an, bis Sie sie abschalten.

Daten: Installation der App, Aufruf der Seite und Käufe. Zu einem Kauf senden wir Betrag und Währung, eine Kennung des Kaufs, den gekauften Artikel, den Dienst, für den die Nummer gedacht ist, und das Land der Nummer. Die Rufnummer selbst senden wir nie. Wird ein Kauf erstattet, senden wir zu derselben Kennung ein Erstattungsereignis an Google, damit dort kein Umsatz gezählt wird, den es nicht mehr gibt. Dazu kommen Geräte- und App-Angaben, IP-Adresse und Browserkennung, Werbe-IDs (auf dem iPhone nur, wenn Sie Tracking erlauben) und im Browser Cookies von Google, Meta und OpenAI.

Kennungen. An Meta und an Google senden wir dieselbe Kennung: Ihre Gastkennung, nur als Hashwert. Zweck dieser Kennung ist, dass derselbe Mensch dort nicht mehrfach gezählt wird. Haben wir eine E-Mail-Adresse, senden wir auch sie nur als Hashwert. An Google geht zusätzlich die von Google selbst gesetzte Kennung, an Meta dessen eigene Cookies.

Eigene Nutzungsauswertung (Website). Mit derselben Einwilligung zeichnen wir auf unseren eigenen Servern auf, wie die Website benutzt wird: aufgerufene Bereiche, Klicks — auch auf gesperrte Knöpfe und auf Stellen ohne Funktion — mit Position und kurzer Beschriftung des angeklickten Elements, Scrollen, geöffnete Fenster und Fehlermeldungen, auch die der Zahlungsseite. Dazu Sprache, Fenstergröße, Land (nicht die IP-Adresse), Herkunft aus einer Anzeige oder einem Link, die Kennungen von Google Analytics und nach einem Kauf unsere Belegnummer. Dafür legt die Seite zwei Zufallskennungen im Speicher Ihres Browsers ab. Ziffernfolgen ab vier Stellen werden schon im Browser unkenntlich gemacht; Rufnummern, Codes und E-Mail-Adressen werden nicht erfasst. Diese Aufzeichnungen löschen wir nach 30 Tagen automatisch.

Zweck: messen, welche Anzeigen Kunden bringen, unsere Werbung und unsere Website verbessern.
Rechtsgrundlage: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021.
Empfänger: Meta Platforms Ireland Ltd., Google Ireland Ltd. und OpenAI Ireland Ltd. (Anzeigen in ChatGPT). Alle können Daten auch in den USA verarbeiten; bei Meta und Google stützt sich die Übermittlung auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss), bei OpenAI auf die Standardvertragsklauseln.
Dauer: Meta, Google und OpenAI speichern nach ihren eigenen Bedingungen. Ihre Wahl bleibt bei Ihrer Gastkennung, bis Sie sie ändern oder das Cookie „sms_geraet“ löschen. Den Nachweis Ihrer Entscheidung — Zeitpunkt, IP-Adresse, Browserkennung, Land, Gerät und die Textfassung, die Ihnen angezeigt wurde — bewahren wir drei Jahre auf, um die Einwilligung nach Art. 7 Abs. 1 DSGVO belegen zu können.
Widerruf: jederzeit mit dem Schalter „Tracking“ im Reiter „Konto“ — in den Apps und auf der Website —, so einfach wie die Einwilligung, mit Wirkung für die Zukunft.

Vor Ihrer Entscheidung (Website). Wo wir vorher fragen, lädt die Website das Skript von Google auch dann, wenn Sie noch nicht entschieden oder abgelehnt haben — im Zustand „verweigert“ (Google Consent Mode). Es setzt und liest dann keine Cookies. Google erhält dabei technisch bedingt Ihre IP-Adresse und Angaben zum Seitenaufruf, aber keine Kennung aus Cookies; kamen Sie über eine Google-Anzeige, kann die Adresse der Seite auch die Klickkennung dieser Anzeige enthalten. Daraus schätzt Google den Erfolg unserer Anzeigen. Meta und OpenAI erhalten vor Ihrer Einwilligung nichts. Auf den Seiten mit den Rechtstexten geschieht nichts davon. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Messung unseres Werbeerfolgs ohne Cookies).

Herkunft aus Apple-Anzeigen (iPhone-App)

Beim ersten Start holt die iPhone-App über Apples Schnittstelle AdServices einen Zuordnungsnachweis und sendet ihn an unseren Server; wir lösen ihn bei Apple ein. Kam die Installation über eine Anzeige in Apple Ads, nennt Apple uns Kampagne, Anzeigengruppe, Suchbegriff, Land, Zeitpunkt des Klicks und Art der Zuordnung; sonst erhalten wir nichts. Diese Angaben speichern wir mit Ihrer Gastkennung. Das geschieht unabhängig von Ihrer Entscheidung zur Werbemessung und ohne Werbe-ID.

Zweck: messen, ob sich unsere Anzeigen in Apple Ads lohnen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Messung unseres Werbeerfolgs).
Dauer: sieben Jahre ab dem Ende des Kalenderjahres der Installation.

Protokolle

Technische Protokolle unserer Server: Zeitpunkt, aufgerufener Weg, Fehlermeldungen, bei der Abwehr übermäßiger Anfragen auch die IP-Adresse.

Zweck: Betrieb, Fehlersuche, Missbrauchsabwehr.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionierenden und missbrauchsfreien Dienst).
Dauer: 30 Tage.

Werbe- und Analysewerkzeuge laufen nur wie unter „Werbemessung“ und „Herkunft aus Apple-Anzeigen“ beschrieben.

3. Übermittlung in ein Drittland — bitte genau lesen

Um Ihnen eine Rufnummer zu beschaffen, übermitteln wir Ihre Anfrage an einen Anbieter außerhalb des Europäischen Wirtschaftsraums. Übermittelt werden der gewünschte Zieldienst und das gewünschte Land, bei einzelnen Anbietern zusätzlich eine pseudonyme Kundenkennung (siehe unten); die Rufnummer und eingehende Nachrichten kommen von dort zurück.

Für dieses Drittland liegt kein Angemessenheitsbeschluss der Europäischen Kommission vor. Das bedeutet konkret:

  • Das Datenschutzniveau dort entspricht möglicherweise nicht dem der DSGVO.
  • Es besteht möglicherweise keine unabhängige Aufsichtsbehörde.
  • Ihre Betroffenenrechte sind dort möglicherweise nicht oder nur schwer durchsetzbar.
  • Behörden des betreffenden Staates können unter Umständen auf die Daten zugreifen, ohne dass wir davon erfahren oder es verhindern können.

Rechtsgrundlage ist Art. 49 Abs. 1 lit. b DSGVO: Die Übermittlung ist für die Erfüllung des Vertrags erforderlich, den Sie mit uns schließen. Ohne sie können wir Ihnen keine Rufnummer beschaffen — der Dienst besteht gerade in dieser Vermittlung. Übermittelt werden ausschließlich der gewünschte Zieldienst und das gewünschte Land, bei einzelnen Anbietern zusätzlich eine pseudonyme Kundenkennung. Sie ist ein mit einem geheimen Schlüssel gebildeter Hashwert Ihrer Gastkennung, für jeden Anbieter ein anderer, aus dem sich die Gastkennung nicht errechnen lässt; mit ihr kann der Anbieter Käufe desselben Kunden einander zuordnen, etwa um Missbrauch einzuschränken. Kein Name, keine E-Mail-Adresse, keine IP-Adresse und nichts, woran der Anbieter Sie außerhalb unseres Dienstes wiedererkennen könnte.

4. Auftragsverarbeiter und weitere Empfänger

Amazon Web Services EMEA SARL, Luxemburg — Betrieb unserer Server und Datenbanken. Serverstandort Frankfurt am Main, Deutschland. Die Website wird zusätzlich über das weltweite Auslieferungsnetz Amazon CloudFront ausgeliefert. Amazon Web Services versendet für uns auch die Kaufbestätigung (Amazon SES). Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO besteht; soweit dabei Daten außerhalb des EWR verarbeitet werden, gelten die darin vereinbarten Standardvertragsklauseln der Europäischen Kommission.

OpenAI Ireland Ltd., Irland — Betrieb der KI-Assistentin im Support-Chat (siehe Punkt 2). OpenAI handelt als unser Auftragsverarbeiter nach Art. 28 DSGVO (Data Processing Addendum von OpenAI). Soweit OpenAI Daten an verbundene Unternehmen oder Unterauftragsverarbeiter außerhalb des EWR, etwa in den USA, übermittelt, geschieht das auf Grundlage von Standardvertragsklauseln oder eines Angemessenheitsbeschlusses der Europäischen Kommission.

Apple Distribution International Ltd., Irland — Auslieferung der iPhone-App, Zahlungsabwicklung, Entscheidung über Erstattungen, Zustellung von Mitteilungen an die iPhone-App und Zuordnung von Apple-Anzeigen. Apple handelt insoweit als eigener Verantwortlicher; es gilt zusätzlich Apples Datenschutzerklärung.

Google Ireland Ltd. und Google Commerce Ltd., Irland — Auslieferung der Android-App über Google Play, Zahlungsabwicklung und Erstattungen in der Android-App. Google handelt insoweit als eigener Verantwortlicher; es gilt zusätzlich Googles Datenschutzerklärung. Mitteilungen an die Android-App stellt Google über Firebase Cloud Messaging zu.

Revolut Bank UAB, Litauen — Zahlungsabwicklung im Web. Revolut handelt insoweit als eigener Verantwortlicher; es gilt zusätzlich der Datenschutzhinweis von Revolut.

Unsere Nummernlieferanten. Um Ihnen eine Rufnummer zu beschaffen, arbeiten wir mit spezialisierten Anbietern außerhalb des Europäischen Wirtschaftsraums zusammen. Sie erhalten von uns den gewünschten Zieldienst und das gewünschte Land, einzelne Anbieter zusätzlich eine pseudonyme Kundenkennung, und liefern uns die Rufnummer und die eingehende Nachricht zurück. Einzelheiten und die Risiken dieser Übermittlung stehen in Punkt 3.

5. Behörden und Strafverfolgung

Wir speichern keine Kommunikationsinhalte auf Vorrat. Was wir zur Sicherheit aufbewahren, steht in Punkt 2 („Sicherheit und Missbrauchsschutz“). Wir sind kein Telekommunikationsanbieter (siehe Punkt 3 der Nutzungsbedingungen).

Erhalten wir eine rechtmäßige Anordnung eines Gerichts, einer Strafverfolgungs- oder Aufsichtsbehörde, erteilen wir Auskunft über die Daten, die wir zu diesem Zeitpunkt tatsächlich haben — etwa welche Rufnummer wann welcher Gastkennung zugeteilt war und mit welchem Gerät und von welcher IP-Adresse diese genutzt wurde. Den Inhalt von Nachrichten haben wir rund 24 Stunden nach Eingang nicht mehr und können ihn dann auch nicht herausgeben. Bei Verdacht auf strafbare Handlungen können wir diese Daten auch von uns aus an die zuständigen Behörden übermitteln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der jeweiligen Anordnung, bei Anzeigen Art. 6 Abs. 1 lit. f DSGVO. Anfragen von Behörden: robin@smsforu.app.

6. Löschung

Auf Ihrem Gerät. Löschen Sie die gespeicherten Daten dieser Website in Ihrem Browser, sind Gastkennung und gemerkter Kauf dort weg. In den Apps ist die Gastkennung so angelegt, dass sie eine Neuinstallation übersteht, damit ein bezahlter Kauf nicht verloren geht. Bei uns bleiben die unten genannten Daten.

Bei uns. Eine Löschung können Sie jederzeit verlangen — im Support-Chat oder unter robin@smsforu.app. Nennen Sie dafür bitte die Bestellnummer aus Ihrer Kaufbestätigung oder schreiben Sie aus dem Support-Chat der App beziehungsweise des Browsers, mit der Sie gekauft haben, weil wir Sie sonst nicht zuordnen können.

Was danach noch aufbewahrt wird, und warum:

  • Rechnungs- und Belegdaten: sieben Jahre ab dem Ende des Kalenderjahres des Kaufs. Gesetzliche Aufbewahrungspflicht, § 132 BAO; danach wird der Beleg gelöscht. Daran führt kein Weg vorbei.
  • Nachweise zur Sicherheit: drei Jahre — welche Rufnummer wann Ihrer Gastkennung zugeteilt war und mit welchem Gerät und von welcher IP-Adresse sie genutzt wurde (siehe Punkt 2). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist die Abwehr von Missbrauch, die Verteidigung von Rechtsansprüchen und die Fähigkeit, einer rechtmäßigen Anordnung überhaupt nachkommen zu können. Diese Daten liegen getrennt, sind im Zugriff beschränkt und werden von jeder Auswertung ausgenommen.
  • Vollständig anonymisierte Zahlen — etwa Erfolgsquoten je Land — bleiben unbegrenzt. Sie lassen keinen Rückschluss auf eine Person zu und sind deshalb keine personenbezogenen Daten mehr.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21).

Widerspruchsrecht. Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie dem aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten diese Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 21 Abs. 1 DSGVO).

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Zuordnung. Weil es kein Konto gibt, kennen wir Ihren Namen nicht. Wir brauchen deshalb eine Angabe, mit der wir Ihre Daten zuordnen können — üblicherweise die Bestellnummer aus Ihrer Kaufbestätigung oder eine Anfrage aus dem Support-Chat des Geräts, mit dem Sie gekauft haben. Können wir Sie nicht zuordnen, dürfen wir die Daten weder herausgeben noch löschen (Art. 11 Abs. 2 DSGVO); zusätzliche Angaben, nur um Sie zu identifizieren, verlangen wir nicht.

Wenden Sie sich dafür an robin@smsforu.app. Wir antworten innerhalb eines Monats.

8. Beschwerderecht

Sie können sich bei einer Aufsichtsbehörde beschweren, insbesondere bei der

Österreichischen Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
dsb@dsb.gv.at

Verbraucherinnen und Verbraucher außerhalb Österreichs können sich an die Aufsichtsbehörde ihres Aufenthaltsstaates wenden.

9. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet grundsätzlich nicht statt; auch die KI-Assistentin im Support-Chat trifft keine solchen Entscheidungen. Einzige Ausnahme: Wird eine Gastkennung auf einem Gerät genutzt, das wegen Missbrauchs gesperrt ist, sperren wir diese Gastkennung automatisch, um die Sperre durchzusetzen (Art. 22 Abs. 2 lit. a DSGVO). Sie können verlangen, dass eine Person die Entscheidung überprüft, Ihren Standpunkt darlegen und die Entscheidung anfechten — schreiben Sie an robin@smsforu.app.

10. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Über wesentliche Änderungen informieren wir in der App.

Maßgebliche Fassung. Bei Abweichungen zwischen den Sprachfassungen gilt die englische; Ausnahme sind das Impressum und die Pflichtangaben nach österreichischem Recht (siehe Punkt 18 der Nutzungsbedingungen).