M6: PDF-Export tenant-nativ und TCPDF vollstaendig vendort

exportKaffeeliste.php band config.php direkt ein (keine Bootstrap-Kette)
und hatte ueberhaupt keine Zugriffskontrolle. TCPDF war im Repo nur
teilweise vorhanden (include/-Verzeichnis und Font-Definitionen fehlten
komplett), wodurch der Export bislang immer mit einem Fatal Error abbrach.

- TCPDF/include/ und die 14 PDF-Standard-Fonts (Helvetica, Courier, Times,
  Symbol, ZapfDingbats) aus dem offiziellen TCPDF-6.6.2-Release nachvendort
  (nicht die vollen ~25 MB an Unicode-Fonts, die hier nicht gebraucht
  werden).
- Zugriffskontrolle ergaenzt (owner/admin/treasurer + Legacy-Fallback wie
  bei den anderen Treasurer-Seiten).
- Vieltrinker-/Wenigtrinker-Aufteilung liest jetzt tenant-sicher ueber
  ledger_fetch_participants_by_window_marks() statt Legacy-SQL direkt
  gegen kl_Kaffeeverbrauch; Preis pro Strich kommt aus tenant_settings
  statt kl_config. N+1-Abfragen pro Zeile durch die bereits geladene
  Teilnehmerzusammenfassung ersetzt.
- scripts/http-smoke.php prueft den Export jetzt als regulaeren Check
  (gueltige PDF-Antwort) statt als bekannten offenen Punkt.
- Live getestet: gueltiges zweiseitiges PDF, Namen/Salden im Textstream
  verifiziert, Aufteilung stimmt mit Ledger-Daten ueberein.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

docs/m6-import-export-mail.md

@@ -52,9 +52,57 @@ Import bestätigt (Dual-Write und Ledger-Spiegelung korrekt), erneuter Upload
 derselben Datei erkennt die bereits importierte Zeile korrekt als Dublette.
 Testdaten anschließend entfernt.
 
+## PDF-/Listenexport
+
+Umgesetzte Dateien:
+
+```text
+TCPDF/include/ (neu vendort)
+TCPDF/fonts/ (nur die 14 PDF-Standard-Fonts, neu vendort)
+exportKaffeeliste.php
+scripts/http-smoke.php
+```
+
+Ziel: Der bestehende zweiseitige Kaffeeliste-Ausdruck (Vieltrinker-/
+Wenigtrinker-Seite mit Wasserzeichen) bleibt optisch erhalten, liest aber
+tenant-sicher aus dem Ledger statt aus Legacy-Tabellen.
+
+Umfang:
+
+- TCPDF war im Repo nur teilweise vorhanden (`include/`-Verzeichnis und
+  Font-Definitionen fehlten komplett, siehe M0/M1). Nachvendort wurden nur
+  `include/` und die 14 PDF-Standard-Fonts (Helvetica, Courier, Times,
+  Symbol, ZapfDingbats – die einzigen tatsächlich genutzten) aus dem
+  offiziellen TCPDF-6.6.2-Release, nicht die vollen ~25 MB an
+  Unicode-Fonts, die für diesen Export nicht gebraucht werden.
+- `exportKaffeeliste.php` hatte zuvor überhaupt keine Zugriffskontrolle
+  (nicht einmal einen `checkKaffeelisteAdmin`-Aufruf) und band `config.php`
+  direkt statt der gemeinsamen Bootstrap-Kette ein. Jetzt gilt dieselbe
+  Rollen-/Legacy-Fallback-Logik wie bei den anderen Treasurer-Seiten.
+  Zusätzlich nutzt die Seite bewusst keine Ledger-native Fensterprüfung
+  mit dem alten Legacy-Anker (jüngstes Datum in `kl_Kaffeeverbrauch`)
+  mehr, sondern durchgängig `ledger_fetch_participants_by_window_marks()`
+  mit `tenant_settings.sheet_window_days` – für alle Mandanten einheitlich,
+  da es sich um einen reinen Lesereport ohne Schreibpfad handelt (siehe
+  Cutover-Notiz: keine Notwendigkeit, hier Legacy-Verhalten 1:1 zu
+  bewahren).
+- Guthaben kommt direkt aus der vorab geladenen Teilnehmerzusammenfassung
+  (`balance_cents`) statt aus zwei separaten Datenbankabfragen pro Zeile
+  (N+1-Muster im Original).
+- Preis pro Strich kommt aus `tenant_settings.mark_price_cents` statt aus
+  `kl_config`.
+- `scripts/http-smoke.php` prüft den PDF-Export jetzt als regulären Check
+  (gültige PDF-Antwort) statt als bekannten offenen Punkt.
+
+Live getestet: gültiges zweiseitiges PDF (58 KB) mit korrektem
+`Content-Type: application/pdf`, Namen und Salden im PDF-Textstream
+stichprobenartig verifiziert (unkomprimierte Testausgabe), Vieltrinker-/
+Wenigtrinker-Aufteilung stimmt mit den Ledger-Daten überein.
+
 ## Prüfstatus
 
 - Golden Master: grün mit 104 Assertions.
 - M4 Ledger-Migration: grün mit 73 Assertions.
 - M4 Ledger-Service: grün mit 115 Assertions.
-- HTTP-Smoke: grün mit 23 geprüften Seiten.
+- HTTP-Smoke: grün mit 24 geprüften Seiten (PDF-Export jetzt regulär statt
+  bekannter offener Punkt).

docs/saas-umstrukturierungsplan.md

@@ -306,7 +306,7 @@ Nicht tun:
 | M3 | SaaS-Basis | Abgeschlossen: Tenants, User, Registrierung, Login, Rollen, Mail-Links und zentrale Mandantenauswahl funktionieren |
 | M4 | Datenmigration | Gestartet: Ledger-Tabelle, Legacy-Backfill, Paritätscheck, Ledger-Service und Preview sind umgesetzt |
 | M5 | App-Kern | Weit fortgeschritten: Kernseiten lesen und schreiben tenant-sicher gegen das Ledger, inklusive Hinweise und rollenbasiertem Zugang; offen ist ein eigener Zahlungs-Screen |
-| M6 | Betriebsflows | Gestartet: CSV-Import mit Vorschau/Dublettenprüfung steht; Export, Mail und Jahresprozesse offen |
+| M6 | Betriebsflows | Gestartet: CSV-Import und PDF-Export stehen; Mail und Jahresprozesse offen |
 | M7 | Landingpage | Public-Seite und Auth-Seiten sind im gemeinsamen Stil nutzbar; spätere Ausbaustufen folgen |
 | M8 | Härtung | Betrieb, Datenschutz, Monitoring und Isolation sind geprüft |
 | M9 | Cutover | Produktivumstellung ist vorbereitet und Legacy ist read-only |
@@ -572,7 +572,12 @@ Schritte:
   `csvupload.php` hatte zuvor keine Zugriffskontrolle; das ist behoben.
 - Uploads außerhalb des Webroots speichern: erledigt (bereits in M2,
   weiterhin genutzt).
-- PDF-/Listenexport aus neuem Datenmodell bauen.
+- PDF-/Listenexport aus neuem Datenmodell bauen: erledigt. TCPDF war nur
+  teilweise vendort (`include/` und Fonts fehlten); nachvendort wurden
+  `include/` und die 14 PDF-Standard-Fonts aus dem offiziellen
+  TCPDF-6.6.2-Release. `exportKaffeeliste.php` hatte zuvor keine
+  Zugriffskontrolle; das ist behoben, die Seite liest jetzt tenant-sicher
+  aus dem Ledger.
 - Mailversand als nachvollziehbaren Versandjob mit Dry-Run und Versandlog
   gestalten.
 - Jahresauswertung beziehungsweise Jahresbuchungen tenant-sicher abbilden.
@@ -727,7 +732,7 @@ UX-Prüfungen:
 | Bestehendes Design driftet weg | Designreferenz und App-Komponenten definieren |
 | CSV-Upload unsicher | Upload außerhalb Webroot, Dateitypprüfung, Importvorschau |
 | Mailversand nicht nachvollziehbar | Versandlog, Dry-Run, Job-Status |
-| Unvollständige Vendor-Kopien für PDF/Mail | Dependencies sauber vendoren oder ersetzen, Smoke-Tests danach erweitern |
+| Unvollständige Vendor-Kopien für PDF/Mail | Dependencies sauber vendoren oder ersetzen, Smoke-Tests danach erweitern. TCPDF in M6 nachvendort (nur `include/` und die 14 Standard-Fonts); PHPMailer weiterhin unvollständig, siehe M6-Mailversand |
 | AD/LDAP blockiert SaaS-Onboarding | E-Mail/Passwort als Basis, SSO später optional |
 | Kein DB-Schema im Repo | Schema exportieren und Migrationen einführen |