Datenschutzerklärung

Wir erheben die folgenden Datenkategorien, wenn Sie SMSCode nutzen:

Kontodaten

• E-Mail-Adresse (für Anmeldung und Benachrichtigungen).
• Passwort (gespeichert als argon2-Hash — wir speichern niemals Klartext-Passwörter).

Google-Sign-In-Daten

Wenn Sie sich über Google anmelden, greifen wir auf folgende Daten Ihres Google-Kontos zu:

• E-Mail-Adresse — Wird als Kontoidentifikation und für die Servicekommunikation verwendet.
• Google-Benutzer-ID — Wird verwendet, um Ihr Google-Konto mit Ihrem SMSCode-Konto zu verknüpfen.

Wir fordern nur die für die Authentifizierung minimal erforderlichen Berechtigungen an (email und openid). Wir greifen nicht auf Ihre Google-Kontakte, Ihren Kalender, Google Drive oder andere Google-Dienste zu.

Transaktionsdaten

• Bestellhistorie (Nummernvermietungen, Dienst, Land, Zeitstempel, Status).
• Einzahlungshistorie (Beträge, Zahlungsmethode, Status).
• Kontoguthaben und Transaktionsaufzeichnungen.

Daten der mobilen App

• Firebase Cloud Messaging (FCM) Geräte-Token — Werden für die Zustellung von Push-Benachrichtigungen über Bestellaktualisierungen und Kontoaktivitäten verwendet.
• Push-Benachrichtigungseinstellungen (aktiviert/deaktiviert).
• Gerätename (optional, zur Identifikation von Geräten in Ihrem Konto).

Nutzungsdaten

• IP-Adresse und ungefährer Standort.
• Geräte- und Browserinformationen (User Agent).
• Serverprotokolle (Zeitstempel der Anfragen, aufgerufene Endpunkte).

API-Nutzungsdaten

• API-Anfragenprotokolle (Endpunkte, Zeitstempel, Antwortcodes).
• Rate-Limit-Zähler.

• Diensterbringung — Verarbeitung von Nummernvermietungen, Verwaltung Ihres Guthabens und Auftragsabwicklung.
• Authentifizierung — Ihre E-Mail-Adresse und Google-Benutzer-ID (bei Nutzung von Google Sign-In) werden ausschließlich zur Kontoauthentifizierung und -identifikation verwendet. Wir nutzen Google-Benutzerdaten nicht für Werbung, Profilerstellung oder Zwecke, die nicht mit der Bereitstellung des SMSCode-Dienstes zusammenhängen.
• Push-Benachrichtigungen — FCM-Geräte-Token werden ausschließlich zur Zustellung von Bestellaktualisierungen, Einzahlungsbestätigungen und Kontosicherheitswarnungen auf Ihrem Mobilgerät verwendet.
• Betrugsprävention — Erkennung und Verhinderung von Missbrauch, unbefugtem Zugriff und Richtlinienverstößen.
• Analysen — Verständnis von Nutzungsmustern zur Verbesserung der Plattformzuverlässigkeit und -leistung.
• Support — Beantwortung Ihrer Anfragen und Lösung von Problemen mit Ihrem Konto oder Ihren Bestellungen.
• Kommunikation — Versand dienstbezogener Benachrichtigungen (Bestellaktualisierungen, Sicherheitswarnungen). Wir versenden keine Marketing-E-Mails ohne Ihre Einwilligung.

• OTP-Codes sind flüchtig — Empfangene SMS-Inhalte (OTP-Codes) werden Ihnen in Echtzeit angezeigt und nach Ablauf oder Abschluss der Bestellung nicht langfristig gespeichert.
• Telefonnummern sind temporär — Gemietete Nummern sind vorübergehend und werden nach Ablauf der Mietdauer wiederverwendet. Wir verknüpfen gemietete Nummern über die aktive Bestellung hinaus nicht mit Ihrer Identität.
• Keine Anrufdaten — SMSCode verarbeitet ausschließlich SMS-Verifizierungen; wir verarbeiten keine Sprachanrufe oder Anruf-Metadaten.

• Zahlungen werden über Drittanbieter-Zahlungsdienstleister (Duitku, Heleket) abgewickelt. Wir speichern keine Kreditkarten-, Bankkonten- oder Zahlungsinstrumentdaten.
• Wir speichern Transaktionsreferenzen (Zahlungsdienstleister-IDs, Beträge, Status) für Abstimmungs- und Supportzwecke.
• Zahlungsdienstleister unterliegen eigenen Datenschutzerklärungen hinsichtlich der Verarbeitung Ihrer Zahlungsinformationen.

Wir geben Daten nur weiter, soweit dies zur Erbringung des Dienstes erforderlich ist. Nachfolgend die vollständige Liste der Kategorien von Drittverarbeitern, die wir beauftragen; detaillierte Verarbeitungsstandorte und Übermittlungs­garantien werden in Abschnitt 14 (Internationale Datenübermittlung) beschrieben.

• Cloudflare, Inc. — Content Delivery Network, DDoS-Schutz und ausgehende Netzwerkinfrastruktur. Verarbeitet IP-Adressen, Anfragemetadaten und TLS-terminierten Datenverkehr während der Übertragung.
• Resend, Inc. — Zustellung transaktionaler E-Mails (Verifizierung, Passwort-Zurücksetzung, Bestellbenachrichtigungen). Verarbeitet Ihre E-Mail-Adresse und Nachrichteninhalte.
• Vorgelagerte SMS-Anbieter — Vermietung virtueller Rufnummern und Weiterleitung eingehender SMS. Wir übermitteln minimale Bestellparameter (Land, Dienst), um Vermietungen zu erfüllen; wir geben Ihre Identität oder Kontodaten nicht an die Anbieter weiter.
• Zahlungs-Gateways — Transaktionsdaten werden an Zahlungs­dienstleister übergeben, um Einzahlungen abzuschliessen. Wir erhalten und speichern keine vollständigen Zahlungsmittel­daten.
• Firebase Cloud Messaging (Google) — FCM-Gerätetokens werden an den Firebase-Dienst von Google übermittelt, um Push-Benachrichtigungen zuzustellen. Es werden keine weiteren personenbezogenen Daten an Firebase übertragen.
• Google Fonts (Google LLC) — stellt die Web-Schriftart Noto Sans bereit, mit der nicht-lateinische Schriften (zum Beispiel Kyrillisch, Chinesisch, Thai, Devanagari und Arabisch) dargestellt werden. Wenn Ihr Browser eine Seite lädt, kann er Schriftdateien vom Google-Fonts-CDN anfordern, wodurch Ihre IP-Adresse und die verweisende Seite gegenüber Google offengelegt werden können. Es werden keine Kontodaten weitergegeben.
• Strafverfolgungsbehörden — Wir können Daten offenlegen, wenn dies gesetzlich vorgeschrieben ist, aufgrund einer gerichtlichen Anordnung oder zum Schutz der Rechte, des Eigentums oder der Sicherheit von SMSCode, unseren Nutzern oder der Öffentlichkeit.

Wir verkaufen Ihre personenbezogenen Daten nicht an Dritte. Wir geben Ihre personenbezogenen Daten nicht an Werbetreibende weiter. Wir beteiligen uns an keinem Datenhändler- oder Werbenetzwerk. Über Google Sign-In erhaltene Google-Nutzerdaten werden niemals an Dritte weitergegeben und werden ausschliesslich zur Authentifizierung innerhalb von SMSCode verwendet.

• Bestellhistorie — Wird zu Abstimmungs-, Support- und Prüfungszwecken aufbewahrt.
• OTP-/SMS-Inhalte — Werden nach Ablauf oder Abschluss der Bestellung gelöscht.
• Kontodaten — Werden aufbewahrt, solange Ihr Konto aktiv ist.
• Serverprotokolle — Werden bis zu 90 Tage lang für Sicherheits- und Debugging-Zwecke aufbewahrt.
• FCM-Geräte-Token — Werden sofort gelöscht, wenn Sie ein Gerät abmelden oder Ihr Konto löschen.

Kontolöschung und Datenbereinigung

Sie können Ihr Konto jederzeit über die Kontoeinstellungen im Web-Dashboard oder in der mobilen App löschen. Bei der Löschung Ihres Kontos geschieht Folgendes:

• Ihr Konto wird sofort als gelöscht markiert (Status auf „Gelöscht“ gesetzt).
• Ihr verbleibendes Guthaben verfällt und wird als abschließende Transaktion verbucht.
• Alle aktiven Sitzungen (Web und Mobil) werden sofort widerrufen.
• FCM-Geräte-Token und Push-Abonnements werden gelöscht.
• API-Token und Webhook-Konfigurationen werden entfernt.
• Es gilt eine 30-tägige Neuregistrierungssperre — Sie können während dieses Zeitraums kein neues Konto mit derselben E-Mail-Adresse erstellen.
• Nach 30 Tagen entfernt eine geplante Aufgabe dauerhaft Ihre personenbezogenen Daten (PII): Ihre E-Mail-Adresse wird durch einen nicht identifizierbaren Platzhalter ersetzt, Ihr Passwort-Hash wird gelöscht, und Ihre Google-Benutzer-ID wird entfernt.
• Transaktionshistorie und Bestellaufzeichnungen werden in anonymisierter Form für Buchhaltungs- und Rechtskonformitätszwecke aufbewahrt.

• Wir verwenden ein einzelnes httpOnly-Sitzungs-Cookie (__session) zur Aufrechterhaltung Ihrer authentifizierten Sitzung. Dieses Cookie ist verschlüsselt und kann von clientseitigen Skripten nicht ausgelesen werden.
• Wir verwenden keine Tracking-Cookies, Werbe-Cookies oder Drittanbieter-Analyse-Cookies.
• Ein Cookie-Banner ist nicht erforderlich, da wir ausschließlich technisch notwendige Cookies für die Authentifizierung verwenden.

Datenspeicherung

• Infrastruktur — Alle Daten werden auf dedizierten, von uns betriebenen Servern gespeichert. Wir verwenden kein Shared-Cloud-Hosting für Benutzerdaten.
• Datenbank — Benutzerdaten werden in PostgreSQL gespeichert, wobei der Zugriff ausschließlich auf Anwendungsdienste beschränkt ist.
• Verschlüsselung bei der Übertragung — Der gesamte Datenverkehr zwischen Ihnen und unseren Servern wird über TLS (HTTPS) verschlüsselt.
• Sitzungsverschlüsselung — Sitzungs-Cookies werden mit AES-256-GCM verschlüsselt.

Datenschutzmaßnahmen

• Passwort-Hashing — Passwörter werden mit argon2 gehasht, einem speicherintensiven Algorithmus, der resistent gegen Brute-Force-Angriffe ist.
• CSRF-Schutz — Zustandsändernde Endpunkte sind gegen Cross-Site-Request-Forgery geschützt.
• Rate Limiting — API- und Authentifizierungs-Endpunkte sind ratenlimitiert, um Missbrauch zu verhindern.
• Zugriffskontrolle — Interne Dienste kommunizieren über authentifizierte Kanäle mit geheimen Schlüsseln. Datenbank- und Cache-Dienste sind in einem privaten Netzwerk isoliert, das nicht über das Internet erreichbar ist.

Obwohl wir branchenübliche Sicherheitsmaßnahmen implementieren, ist kein System zu 100 % sicher. Wenn Sie eine Sicherheitslücke entdecken, melden Sie diese bitte an [email protected].

Wenn Sie sich im Europäischen Wirtschaftsraum (EWR) oder im Vereinigten Königreich befinden, gewährt Ihnen die Datenschutz-Grundverordnung der EU und des Vereinigten Königreichs (DSGVO) bestimmte Rechte in Bezug auf Ihre personenbezogenen Daten. Die Danver LLC ist der Verantwortliche für diese Daten. Wir verarbeiten sie, um den Dienst bereitzustellen und abzusichern (Erfüllung unseres Vertrags mit Ihnen), um gesetzlichen Pflichten nachzukommen und im Rahmen unserer berechtigten Interessen am Betrieb und Schutz der Plattform; soweit wir uns auf Ihre Einwilligung stützen, können Sie diese jederzeit widerrufen.

Vorbehaltlich der in der DSGVO festgelegten Bedingungen und Ausnahmen haben Sie:

• das Recht auf Auskunft — eine Bestätigung darüber zu erhalten, ob wir Ihre personenbezogenen Daten verarbeiten, sowie eine Kopie davon zu erhalten;
• das Recht auf Berichtigung — unrichtige oder unvollständige personenbezogene Daten berichtigen zu lassen;
• das Recht auf Löschung — Ihre personenbezogenen Daten löschen zu lassen (das "Recht auf Vergessenwerden"), das Sie selbst durch Löschung Ihres Kontos auslösen können (siehe Abschnitt 6);
• das Recht auf Einschränkung der Verarbeitung — die Verarbeitung Ihrer personenbezogenen Daten unter bestimmten Umständen einzuschränken;
• das Recht auf Widerspruch — der Verarbeitung zu widersprechen, die auf Grundlage unserer berechtigten Interessen erfolgt;
• das Recht auf Datenübertragbarkeit — Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten;
• das Recht auf Widerruf der Einwilligung — sofern wir uns auf Ihre Einwilligung stützen, diese jederzeit zu widerrufen, ohne die Rechtmässigkeit der bis zum Widerruf erfolgten Verarbeitung zu berühren.

Zur Ausübung dieser Rechte kontaktieren Sie uns unter [email protected]. Wir antworten innerhalb von 30 Tagen, wie gemäss Artikel 12 DSGVO erforderlich. Sie haben zudem das Recht, bei Ihrer örtlichen Datenschutz-Aufsichtsbehörde Beschwerde einzulegen, wenn Sie der Ansicht sind, dass wir Ihre personenbezogenen Daten nicht im Einklang mit dem geltenden Recht behandelt haben.

Wenn Sie in Kalifornien wohnen, gewährt Ihnen der California Consumer Privacy Act (CCPA) in der durch den California Privacy Rights Act (CPRA) geänderten Fassung zusätzlich zu den in Abschnitt 9 (Ihre Rechte gemäss der DSGVO) genannten Rechten bestimmte Rechte hinsichtlich Ihrer personenbezogenen Informationen.

Recht auf Auskunft. Sie können verlangen, dass wir die Kategorien und konkreten personenbezogenen Informationen, die wir über Sie erhoben haben, deren Quellen, die Zwecke der Erhebung oder Offenlegung sowie die Kategorien der Dritten, mit denen wir sie teilen, offenlegen. Die von uns erhobenen Kategorien sind in Abschnitt 1 (Daten, die wir erheben) aufgeführt.

Recht auf Löschung. Sie können die Löschung der über Sie erhobenen personen­bezogenen Informationen verlangen, vorbehaltlich bestimmter gesetzlicher Ausnahmen (z. B. zur Abwicklung einer Transaktion, zur Aufdeckung von Sicherheitsvorfällen oder zur Erfüllung einer gesetzlichen Pflicht).

Recht auf Berichtigung. Sie können verlangen, dass wir unrichtige personen­bezogene Informationen, die wir über Sie führen, berichtigen.

Recht auf Widerspruch gegen Verkauf oder Weitergabe. Wir verkaufen Ihre personenbezogenen Informationen nicht an Dritte und geben sie auch nicht für kontextübergreifende verhaltensbezogene Werbung weiter. Es gibt nichts zu widersprechen, aber wir erklären es ausdrücklich, damit Sie es wissen.

Recht auf Einschränkung der Nutzung sensibler personenbezogener Informationen. Wir verwenden sensible personenbezogene Informationen (im Sinne des CPRA) nicht für Zwecke, die über das zur Erbringung des Dienstes Notwendige hinausgehen.

Recht auf Nichtdiskriminierung. Wir werden Sie nicht für die Ausübung dieser Rechte benachteiligen. Ihre Nutzungserfahrung bleibt unverändert, und weder Gebühren, Bedingungen noch Dienstqualität werden davon berührt.

Ausübung. Um ein CCPA-Recht auszuüben, kontaktieren Sie uns unter [email protected]. Wir überprüfen Ihre Identität vor einer Antwort und antworten innerhalb von 45 Tagen (verlängerbar um weitere 45 Tage, soweit dies vernünftigerweise erforderlich ist).

Der California Online Privacy Protection Act (CalOPPA) verpflichtet Betreiber kommerzieller Websites und Online-Dienste, die personenbezogene Informationen von Einwohnern Kaliforniens erheben, eine gut sichtbare Datenschutzerklärung zu veröffentlichen und einzuhalten. In Übereinstimmung mit dem CalOPPA gilt:

• Sie können die öffentlichen Bereiche unserer Website anonym besuchen, ohne ein Konto zu erstellen;
• der Link zu unserer Datenschutzerklärung enthält das Wort "Privacy" und ist über die Fusszeile jeder Seite zugänglich;
• über wesentliche Änderungen dieser Datenschutzerklärung werden Sie auf dieser Seite informiert (siehe Abschnitt 15);
• Sie können Ihre personenbezogenen Informationen einsehen und ändern, indem Sie sich in Ihren Kontoeinstellungen anmelden oder uns unter [email protected] schreiben.

Do Not Track

Einige Browser bieten ein "Do Not Track" (DNT)-Signal. Da wir Besucher nicht über Websites Dritter hinweg verfolgen und keine Werbe- oder Verhaltens-Tracking-Cookies verwenden (siehe Abschnitt 12, Analytik), stehen unsere Praktiken im Einklang mit der Beachtung von DNT-Signalen: Wir verfolgen Sie nicht, blenden Ihnen keine Werbung ein und erstellen keine seitenübergreifenden Profile von Ihnen, unabhängig davon, ob ein DNT-Signal vorhanden ist.

SMSCode nutzt keine Web-Analyse-Dienste Dritter, Verhaltens­tracking-Werkzeuge oder Werbetechnologie. Konkret:

• Wir nutzen weder Google Analytics, Mixpanel, Amplitude, Hotjar, Segment noch einen ähnlichen Analysedienst;
• Wir binden keine Tracking-Pixel, Marketing-Tags oder Retargeting-Skripte auf Seiten ein;
• Wir nehmen an keinem Werbenetzwerk oder seitenübergreifenden Werbeökosystem teil;
• Wir erstellen keine Verhaltens­profile einzelner Nutzer zu Marketing- oder Empfehlungszwecken.

Die einzigen Daten, die wir über Ihre Nutzung des Dienstes erheben, sind die für Bereitstellung und Sicherheit erforderlichen Betriebsdaten: Serveranfrage-Logs, Rate-Limit-Zähler, Bestellhistorie und Session-Cookies. Diese sind im Detail in Abschnitt 1 (Daten, die wir erheben), Abschnitt 7 (Cookies und Sitzungen) und Abschnitt 8 (Sicherheits­massnahmen) beschrieben. Serverlogs werden maximal 90 Tage für Sicherheit und Fehlerbehebung aufbewahrt und anschliessend gelöscht.

Sollten wir zukünftig Analytik einführen, wird diese Datenschutz­erklärung vor Inkrafttreten der Änderung aktualisiert und Sie werden gemäss Abschnitt 15 (Änderungen dieser Erklärung) benachrichtigt.

SMSCode ist nicht für Personen unter 18 Jahren bestimmt. Wir erheben wissentlich keine personenbezogenen Daten von Minderjährigen. Wenn Sie der Ansicht sind, dass ein Minderjähriger unter 18 Jahren uns personenbezogene Daten übermittelt hat, kontaktieren Sie uns bitte, damit wir diese umgehend löschen können.

Die Danver LLC hat ihren Sitz in den Vereinigten Staaten, und die von Ihnen bereitgestellten personenbezogenen Daten werden hauptsächlich in den Vereinigten Staaten verarbeitet. Zur Erbringung des Dienstes nutzen wir Unterauftragsverarbeiter und Drittinfrastruktur, die Ihre Daten in den Vereinigten Staaten und in anderen Rechtsordnungen verarbeiten können. Ihre Informationen, einschliesslich personenbezogener Daten, können daher an Computer ausserhalb Ihres Bundesstaates, Ihrer Provinz oder Ihres Landes übermittelt und dort gespeichert werden, wo die Datenschutzgesetze von denen Ihrer Rechtsordnung abweichen können.

Übermittlungsmechanismus

Wenn wir personenbezogene Daten aus Ihrer Rechtsordnung (einschliesslich des Europäischen Wirtschaftsraums oder des Vereinigten Königreichs) in die Vereinigten Staaten oder ein anderes Land übermitteln, ergreifen wir angemessene Massnahmen, um sicherzustellen, dass geeignete Kontrollen bestehen und dass Ihre Daten sicher und im Einklang mit dieser Datenschutzerklärung behandelt werden. Eine Übermittlung Ihrer personenbezogenen Daten erfolgt nur, wenn angemessene Kontrollen bestehen, was geeignete vertragliche Garantien (wie Standardvertragsklauseln oder andere nach geltendem Recht anerkannte Mechanismen) mit den Parteien umfassen kann, die Ihre Daten verarbeiten. Die für eine bestimmte Übermittlung geltenden konkreten Garantien werden im Rahmen unserer Auftragsverarbeitungsvereinbarungen vorgehalten.

Kontrolle weiterer Übermittlungen

Alle Unterauftragsverarbeiter, die Ihre personenbezogenen Daten erhalten, sind durch schriftliche Verträge gebunden, die sie verpflichten: (a) Daten nur auf dokumentierte Weisung der Danver LLC zu verarbeiten; (b) geeignete technische und organisatorische Sicherheitsmassnahmen umzusetzen; (c) die Vertraulichkeit der Personen mit Datenzugriff zu gewährleisten; (d) uns bei der Erfüllung von Anfragen betroffener Personen zu unterstützen; und (e) die Daten bei Vertragsende zu löschen oder zurückzugeben. Soweit Ihre Daten der DSGVO unterliegen, folgen diese Verpflichtungen den Anforderungen des Artikels 28 DSGVO.

Aktuelle Kategorien von Unterauftragsverarbeitern

Zu den Unterauftragsverarbeitern, die Ihre Daten verarbeiten können, gehören unter anderem:

• Cloudflare, Inc. (Vereinigte Staaten) — Content Delivery, DDoS-Schutz und ausgehendes Networking;
• Google LLC (Vereinigte Staaten) — Auslieferung von Web-Schriftarten über Google Fonts (siehe Abschnitt 5);
• Resend, Inc. (Vereinigte Staaten) — Zustellung transaktionaler E-Mails;
• international tätige SMS-Provider-Partner — Vermietung virtueller Rufnummern und Routing eingehender SMS (siehe Abschnitt 3);
• Zahlungsgateways — transaktionale Zahlungsverarbeitung für Einzahlungen (siehe Abschnitt 4).

Ihre Rechte

Sie können eine Kopie der für Ihre Daten geltenden Übermittlungsgarantien anfordern, indem Sie uns unter [email protected] kontaktieren. Wir werden innerhalb von 30 Tagen antworten, wie in Abschnitt 9 (Ihre Rechte gemäss der DSGVO) und Artikel 12 DSGVO beschrieben.

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen werden per E-Mail oder durch einen Hinweis auf der Plattform mitgeteilt. Das Datum "Zuletzt aktualisiert" oben zeigt die letzte Überarbeitung an.

Bei datenschutzbezogenen Fragen oder Anfragen kontaktieren Sie uns unter [email protected].

Für allgemeine Unterstützung erreichen Sie uns unter [email protected].