Sicherheits-/Korrektheits-Fixes und neue Funktionen

Bugfixes aus dem Code-Review:
- XSS: unescaptes $_SERVER['PHP_SELF'] in csvupload.php und
  letzteneintraege.php durch feste Seitennamen ersetzt.
- Stripe-Webhook: Event-Deduplizierung (neue Tabelle stripe_webhook_events)
  gegen doppelte Verarbeitung/Dolibarr-Rechnungen bei Retry-Zustellung.
- Stripe-Webhook: Tarifwechsel aus dem Kundenportal wird lokal nachgezogen
  (plan_code aus dem Preis-lookup_key bei subscription.updated).
- Post-Redirect-Get fuer jahresauswertung, mailversenden und die
  Selbst-Stricheintragung - verhindert Doppelbuchung/Doppelversand per
  Browser-Refresh.
- Jahresbonus: Mails erst nach erfolgreichem Commit; Restcent-Ausgleich
  beim letzten Empfaenger, damit die Summe exakt stimmt.
- Verschachtelte HTML-Dokumente in csvupload/einzahlung/stricheintragen
  entfernt (Layout kommt aus header.php).
- Rate-Limit fuer den Versand von E-Mail-Verifizierungslinks.

Neue Funktionen:
- Mitglieder koennen ihren zuletzt selbst eingetragenen Strich wieder
  stornieren (nur eigene Web-Eintraege, Kassenwart-Eintraege bleiben).
- Monatsuebersicht des eigenen Verbrauchs im Mitglieder-Dashboard.
- Automatische Zahlungserinnerung: opt-in pro Mandant ab der
  Warnschwelle, mit Intervall; Cron-Skript scripts/send-payment-reminders.php.
- CSV-Import fuer Mitgliederlisten inkl. herunterladbarer Vorlage
  (mitglieder-vorlage.php), Semikolon-/Komma- und BOM-Erkennung.
- Logo als PDF-Wasserzeichen pro Mandant (Upload in den Mandant-
  Einstellungen, geschuetzt unter var/tenant_logos/, ersetzt den
  Text-Wasserzeichen im Ausdruck).

Robusterer Teilnehmer-Lookup im Dashboard ueber user_id (Fallback E-Mail).

mitglieder-vorlage.php

@@ -0,0 +1,34 @@
+<?php
+
+// Liefert eine leere Mitglieder-CSV-Vorlage zum Download. Nur fuer Verwalter
+// (owner/admin) bzw. den Legacy-Admin - dieselbe Zugriffslogik wie die
+// Mitgliederverwaltung.
+require_once __DIR__ . '/functions.php';
+require_once __DIR__ . '/app/ledger.php';
+
+$pdo = app_db_pdo();
+$saasUser = saas_current_user($pdo);
+$hasAccess = false;
+
+if ($saasUser !== null && saas_user_has_role(['owner', 'admin'], $saasUser)) {
+    $hasAccess = true;
+} elseif ($saasUser === null && checkKaffeelisteAdmin($conn, $mailadress)) {
+    $hasAccess = true;
+}
+
+if (!$hasAccess) {
+    http_response_code(403);
+    exit('Kein Zugriff.');
+}
+
+// UTF-8-BOM, damit Excel Umlaute korrekt erkennt; Semikolon als Trenner
+// (deutsches Excel-Standardformat).
+$zeilen = [
+    'Name;E-Mail;PayPal-Name;Aktiv',
+    'Max Mustermann;max@example.com;;ja',
+    'Erika Beispiel;erika@example.com;Erika B.;ja',
+];
+
+header('Content-Type: text/csv; charset=UTF-8');
+header('Content-Disposition: attachment; filename="kaffeeliste-mitglieder-vorlage.csv"');
+echo "\xEF\xBB\xBF" . implode("\r\n", $zeilen) . "\r\n";