Zwei Dinge begreife ich bei solchen Meldungen immer nicht

1) Wozu speichert man bitte die Kreditkartendaten? Gibt es denn keine
AGBs / Privacy Policies / gesetzlichen Vorschriften / sonstwas...
gegen sowas, in denen entweder steht, dass sie das nicht machen oder
es ihnen verbietet?

2) Selbst WENN ich das ganze Gewurste (bei einigen Geschäftsfeldern)
wirklich benötige (für Reklamationen etc. gibt es ja wohl auch andere
Nachweise zum Kauf die dann sowieso AUCH benötigt werden), sollten
solche Datenbanken nicht vom Intranet getrennt sein und nur für quasi
Blockweise Updates verbunden werden, bei denen solche Daten in die
offline DB verschoben werden? Kann man dann den Diebstahl nicht sehr
schnell bemerken und auch einfach zurückverfolgen?

Wer kennt sich mit sowas aus? Bitte keine "Na ich vermute mal..."
Antworten, danke.

mk