Zahlungsarten überarbeitet: echtes PayPal, Klarna & eigene Kartenmaske raus

Auf ausdrücklichen Wunsch, mit Fokus auf rechtliche Absicherung:

- Klarna komplett entfernt (hätte eigene Händlerprüfung + Bonitätsprüfungs-
  Pflichten nach der neuen EU-Verbraucherkreditrichtlinie vorausgesetzt).
- Eigene Kreditkarten-Eingabemaske komplett entfernt (wäre PCI-DSS-pflichtig
  gewesen — für einen kleinen Shop praktisch nicht stemmbar). Kartenzahlung
  bleibt möglich: PayPals eigener, PCI-zertifizierter Gast-Checkout bietet
  Kredit-/Debitkarte an, ohne dass Kartendaten je unsere Seite berühren.
- PayPal ist jetzt ECHT server-seitig verifiziert statt dem Browser blind zu
  vertrauen: eigener Cloudflare-Function-Flow (functions/_shared/paypal.js +
  functions/api/paypal/) legt die PayPal-Bestellung server-seitig an, zieht
  die Zahlung nach Bestätigung server-seitig ein und prüft den eingezogenen
  Betrag gegen die Bestellsumme — die Bestellung wird ausschließlich bei
  bestätigter, betragsgleicher Zahlung angelegt. /api/orders lehnt direkte
  PayPal-Bestellungen jetzt ausdrücklich ab (verhindert vorgetäuschte
  "bezahlte" Bestellungen ohne echte Zahlung).
- Neuer, ehrlicherer Bestellstatus "zahlungOffen": Überweisungs-Bestellungen
  starten jetzt so (Geld noch nicht da) statt fälschlich sofort "bezahlt" zu
  heißen — Schutz vor Warenversand, bevor das Geld wirklich angekommen ist.
  Eigene Kachel/Filter/Badge-Farbe in der Verwaltung, Umsatz-/Auswertungs-
  Zahlen zählen "zahlungOffen" bewusst nicht mit.
- Rechtstexte (AGB, Datenschutzerklärung, FAQ, Versand & Zahlung) auf allen
  4 Sprachen aktualisiert: nur noch PayPal + Überweisung erwähnt, inkl. DSGVO-
  Hinweis zur internationalen Datenübertragung an PayPal (Data Privacy
  Framework-Zertifizierung).
- D1-Migration 0003: neue Spalte paypal_order_id (Zahlungsbeleg) + erweiterter
  Status-Wertebereich, auf Live-Datenbank angewendet, bestehende Daten intakt.

Mit echten Testbestellungen lokal verifiziert: Überweisung legt korrekt
"zahlungOffen" an, direkter PayPal-Bypass-Versuch an /api/orders wird
abgelehnt, PayPal-Route meldet sauber "noch nicht eingerichtet" ohne
Zugangsdaten. Checkout-UI zeigt nur noch 2 Zahlungsarten, Bestellknopf ist bei
PayPal ausgeblendet (Zahlung läuft exklusiv über den echten PayPal-Button).

Für den echten Zahlungseingang fehlt noch VanVans eigenes PayPal-Business-
Konto (Client-ID + Secret) — Details in der Vault-Dokumentation.

Co-Authored-By: Claude Sonnet 5 <[email protected]>

d1/schema.sql

@@ -14,11 +14,15 @@ CREATE TABLE IF NOT EXISTS orders (
   bestellnummer TEXT UNIQUE,
   created_at TEXT NOT NULL,
   updated_at TEXT NOT NULL,
-  -- bezahlt: Phase-1-Zahlung gilt sofort als erfolgreich (siehe scripts/account.ts-Kommentar zum
-  -- selben Thema) · bearbeitung/versandVorbereitet/versendet/abgeschlossen: manuelle Pflege durch
-  -- qciga/VanVan in /verwaltung/ · storniert: für echte Rückabwicklungen/Fehlbestellungen.
-  status TEXT NOT NULL DEFAULT 'bezahlt'
-    CHECK (status IN ('bezahlt', 'bearbeitung', 'versandVorbereitet', 'versendet', 'abgeschlossen', 'storniert')),
+  -- zahlungOffen: Bestellung eingegangen, Zahlung (Überweisung/Vorkasse) steht noch aus — Ware
+  -- darf NICHT verschickt werden, bis qciga/VanVan den Geldeingang sieht und manuell auf
+  -- "bezahlt" stellt (Schutz vor Warenverlust bei nie eingegangener Zahlung) · bezahlt: Zahlung
+  -- bestätigt — bei PayPal ausschließlich, nachdem functions/api/paypal/capture-order.js die
+  -- Zahlung server-seitig bei PayPal verifiziert hat (nie durch bloßes Absenden des Formulars) ·
+  -- bearbeitung/versandVorbereitet/versendet/abgeschlossen: manuelle Pflege durch qciga/VanVan in
+  -- /verwaltung/ · storniert: für echte Rückabwicklungen/Fehlbestellungen.
+  status TEXT NOT NULL DEFAULT 'zahlungOffen'
+    CHECK (status IN ('zahlungOffen', 'bezahlt', 'bearbeitung', 'versandVorbereitet', 'versendet', 'abgeschlossen', 'storniert')),
   kunde_name TEXT NOT NULL,
   kunde_email TEXT NOT NULL,
   land TEXT NOT NULL CHECK (land IN ('de', 'at', 'ch', 'lu')),
@@ -32,6 +36,10 @@ CREATE TABLE IF NOT EXISTS orders (
   -- functions/api/orders.js): vor dem Anlegen einer neuen Bestellung wird geprüft, ob dieselbe
   -- E-Mail-Adresse denselben Code schon einmal (in einer nicht-stornierten Bestellung) benutzt hat.
   gutschein_code TEXT,
+  -- Echte PayPal-Bestell-ID (aus der server-seitig verifizierten Zahlung, siehe
+  -- functions/api/paypal/capture-order.js) — NULL bei allen anderen Zahlungsarten. Dient als
+  -- Nachweis/Beleg, falls es je Rückfragen zu einer bestimmten PayPal-Zahlung gibt.
+  paypal_order_id TEXT,
   zwischensumme REAL NOT NULL DEFAULT 0,
   versandkosten REAL NOT NULL DEFAULT 0,
   rabatt_gesamt REAL NOT NULL DEFAULT 0,