Die richtlinien kann man kaum mit einem 10€-pro-Monat dedicated Server erfüllen. Aber wenn man seinen eigenen Server betreibt sollte das schon möglich sein.

Schwierig ist der Teil "Restrict physical access to cardholder data", je nach dem wie genau man das nimmt. Wenn der Hoster physikalischen Zugang beschränkt, reicht das? Oder muss man dann den Teil selbst hosten?

Aufwand ist es auf jeden Fall, d.h. das sollte man nur machen, wenn man auch wirklich plant damit Kohle zu machen ;-)