M6: PDF-Export tenant-nativ und TCPDF vollstaendig vendort

exportKaffeeliste.php band config.php direkt ein (keine Bootstrap-Kette)
und hatte ueberhaupt keine Zugriffskontrolle. TCPDF war im Repo nur
teilweise vorhanden (include/-Verzeichnis und Font-Definitionen fehlten
komplett), wodurch der Export bislang immer mit einem Fatal Error abbrach.

- TCPDF/include/ und die 14 PDF-Standard-Fonts (Helvetica, Courier, Times,
  Symbol, ZapfDingbats) aus dem offiziellen TCPDF-6.6.2-Release nachvendort
  (nicht die vollen ~25 MB an Unicode-Fonts, die hier nicht gebraucht
  werden).
- Zugriffskontrolle ergaenzt (owner/admin/treasurer + Legacy-Fallback wie
  bei den anderen Treasurer-Seiten).
- Vieltrinker-/Wenigtrinker-Aufteilung liest jetzt tenant-sicher ueber
  ledger_fetch_participants_by_window_marks() statt Legacy-SQL direkt
  gegen kl_Kaffeeverbrauch; Preis pro Strich kommt aus tenant_settings
  statt kl_config. N+1-Abfragen pro Zeile durch die bereits geladene
  Teilnehmerzusammenfassung ersetzt.
- scripts/http-smoke.php prueft den Export jetzt als regulaeren Check
  (gueltige PDF-Antwort) statt als bekannten offenen Punkt.
- Live getestet: gueltiges zweiseitiges PDF, Namen/Salden im Textstream
  verifiziert, Aufteilung stimmt mit Ledger-Daten ueberein.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

docs/saas-umstrukturierungsplan.md

@@ -306,7 +306,7 @@ Nicht tun:
 | M3 | SaaS-Basis | Abgeschlossen: Tenants, User, Registrierung, Login, Rollen, Mail-Links und zentrale Mandantenauswahl funktionieren |
 | M4 | Datenmigration | Gestartet: Ledger-Tabelle, Legacy-Backfill, Paritätscheck, Ledger-Service und Preview sind umgesetzt |
 | M5 | App-Kern | Weit fortgeschritten: Kernseiten lesen und schreiben tenant-sicher gegen das Ledger, inklusive Hinweise und rollenbasiertem Zugang; offen ist ein eigener Zahlungs-Screen |
-| M6 | Betriebsflows | Gestartet: CSV-Import mit Vorschau/Dublettenprüfung steht; Export, Mail und Jahresprozesse offen |
+| M6 | Betriebsflows | Gestartet: CSV-Import und PDF-Export stehen; Mail und Jahresprozesse offen |
 | M7 | Landingpage | Public-Seite und Auth-Seiten sind im gemeinsamen Stil nutzbar; spätere Ausbaustufen folgen |
 | M8 | Härtung | Betrieb, Datenschutz, Monitoring und Isolation sind geprüft |
 | M9 | Cutover | Produktivumstellung ist vorbereitet und Legacy ist read-only |
@@ -572,7 +572,12 @@ Schritte:
   `csvupload.php` hatte zuvor keine Zugriffskontrolle; das ist behoben.
 - Uploads außerhalb des Webroots speichern: erledigt (bereits in M2,
   weiterhin genutzt).
-- PDF-/Listenexport aus neuem Datenmodell bauen.
+- PDF-/Listenexport aus neuem Datenmodell bauen: erledigt. TCPDF war nur
+  teilweise vendort (`include/` und Fonts fehlten); nachvendort wurden
+  `include/` und die 14 PDF-Standard-Fonts aus dem offiziellen
+  TCPDF-6.6.2-Release. `exportKaffeeliste.php` hatte zuvor keine
+  Zugriffskontrolle; das ist behoben, die Seite liest jetzt tenant-sicher
+  aus dem Ledger.
 - Mailversand als nachvollziehbaren Versandjob mit Dry-Run und Versandlog
   gestalten.
 - Jahresauswertung beziehungsweise Jahresbuchungen tenant-sicher abbilden.
@@ -727,7 +732,7 @@ UX-Prüfungen:
 | Bestehendes Design driftet weg | Designreferenz und App-Komponenten definieren |
 | CSV-Upload unsicher | Upload außerhalb Webroot, Dateitypprüfung, Importvorschau |
 | Mailversand nicht nachvollziehbar | Versandlog, Dry-Run, Job-Status |
-| Unvollständige Vendor-Kopien für PDF/Mail | Dependencies sauber vendoren oder ersetzen, Smoke-Tests danach erweitern |
+| Unvollständige Vendor-Kopien für PDF/Mail | Dependencies sauber vendoren oder ersetzen, Smoke-Tests danach erweitern. TCPDF in M6 nachvendort (nur `include/` und die 14 Standard-Fonts); PHPMailer weiterhin unvollständig, siehe M6-Mailversand |
 | AD/LDAP blockiert SaaS-Onboarding | E-Mail/Passwort als Basis, SSO später optional |
 | Kein DB-Schema im Repo | Schema exportieren und Migrationen einführen |