И как они вообще могут узнать такую информацию?

В данном случае нужно понимать состав сведений о Вас, которыми они располагают.

Поскольку Вас можно идентифицировать по номеру телефона — то он относится к составу персональных данных, общим условием обработки которых в силу ст. 6 ФЗ «О персональных данных» является данное Вами согласие на обработку.

<Письмо> Роскомнадзора от 20.01.2017 N 08АП-6054 отмечало, что принцип идентификации физического лица по фамилии, имени, отчеству из всего массива информации не является единственно возможным критерием отнесения обработанных сведений к персональным данным, в связи с чем к числу персональных данных можно отнести и сведения об используемом телефонном номере.

В подтверждение этого свидетельствует и Письмо Минкомсвязи России от 07.07.2017 N П11-15054-ОГ, отмечавшее, что 

Таким образом, абонентский номер или адрес электронной почты могут быть признаны персональными данными в случае, когда такая информация относится к прямо или косвенно определенному или определяемому физическому лицу.

В рассматриваемой ситуации могут усматриваться признаки распространения персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Если Вы не давали согласие на обработку, то можно говорить о возможной ответственности по ст. 13.11 КОАП РФ

2. Обработка персональных данных без согласия в письменной форме субъекта персональных данных на обработку его персональных данных в случаях, когда такое согласие должно быть получено в соответствии с законодательством Российской Федерации в области персональных данных, за исключением случаев, предусмотренных статьей 17.13 настоящего Кодекса, если эти действия не содержат уголовно наказуемого деяния, либо обработка персональных данных с нарушением установленных законодательством Российской Федерации в области персональных данных требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, — влечет наложение административного штрафа на граждан в размере от десяти тысяч до пятнадцати тысяч рублей; на должностных лиц — от ста тысяч до трехсот тысяч рублей; на юридических лиц — от трехсот тысяч до семисот тысяч рублей.

Однако привлечение к ответственности возможно в том случае, если будет установлен факт получения и распространения Вашего номера без Вашего согласия.

Таким образом, нужно выяснить каким именно образом, в базу данных попал Ваш номер телефона, так как получение согласия Вас как субъекта персональных данных на обработку таких данных не обязательно, если это осуществляется в рамках исполнения заключенного с Вами договора, например- дезинсекции. 

Но в данном случае нужно, чтобы договор изъявили желание заключить Вы 

На данный момент, если Вы не хотите получать звонки и сообщения от данной организации, рекомендую направить требование о прекращении использования Ваших персональных данных.

Статья 21 упомянутого Федерального закона предусматривает, что в случае поступления соответствующего заявления от объекта персональных данных, оператор обязан прекратить обработку ПД:

В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных

Дополню, что за нарушение правил работы с персональными данными предусмотрена административная ответственность по статье  13.11 КоАП- https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/

Максимум, что может грозит фирме, если что-то гипотетически и удастся доказать — это административный штраф.

КоАП РФ Статья 13.11. Нарушение законодательства Российской Федерации в области персональных данных

которая не давала мой номер

А Вы точно можете поручиться за то, что номер она не давала? Без связи адреса с лицом, даже по теневым базам пробить не получится, как минимум нужен цифровой след.