<!-- mandant_v12.html | FIX-961 | 05.06.2026 | Reisebuch/Warenbuch-Tab nutzt volle Breite (.wrap.wide=96vw) statt der schmalen 800px-Spalte. ROOT CAUSE: das Reisebuch-iframe ist width:100%, sein Container .wrap ist aber max-width:800px zentriert -> Reisebuch + das darin schwebende Beleg-Fenster (reisebuero v7) hatten nur einen schmalen Streifen. zeigTab() schaltet .wrap.wide fuer reisebuch/warenbuch, entfernt sie fuer alle anderen Tabs. Schafft zugleich Platz fuer die geplante Aussonderungs-Spalte (v943). Aenderung ggue v11 NUR: CSS .wrap.wide + zeigTab-Toggle. Login/Auth unveraendert (G-6). -->
<!-- mandant_v11.html | FIX-FORM-MANDANT-SSO2 | 04.06.2026 | _ladeIframeMitToken_942 uebergibt jetzt den ROHEN mp_tok (vorher JSON.parse -> leer) als ?token= an die Embed-iframes (Reisebuch/Warenbuch). Sonst unveraendert. Login/Auth unveraendert (G-6). -->
<!-- mandant_v10.html | FIX-KUNDEN5 | 03.06.2026 | Header neu: links Kundenname (GET /mandant/:nr/kunde, api_v872), zentral gross Mandantenname + Mandantenlogo. Pille (hdrBadge) + Abmelden-Button (btnLogout) entfernt — rechtes Auth-Menue (12_auth_menu.js) uebernimmt Passwort + Abmelden. hdrLogo->hdrMandantLogo. Login/Token unveraendert (G-6). Kundenlogo (Option B) NICHT enthalten — kein Datenfeld vorhanden. -->
<!-- mandant_v9a.html | FIX-AUTH | 02.06.2026 | onLoginErfolg: Typ-Prüfung — nur mandant_user/mandant_admin darf ins Mandanten-Portal. G-6: Auth-Flow unveraendert, nur Typ-Filterung ergänzt.
<!-- mandant_v9f.html | FIX-UI04 | 02.06.2026 | Blanko-Download Button entfernt. api_v873f sonst unveraendert.
<!-- mandant_v9e.html | FIX-FORM9 | 02.06.2026 | Blanko-Download: pdf_pfad statt code.docx. api_v873e erforderlich.
<!-- mandant_v9d.html | FIX-FORM7 | 02.06.2026 | Formulare: Blanko-Download Button. api_v873d erforderlich. G-6: Auth unveraendert.
<!-- mandant_v9c.html | FIX-FORM6 | 02.06.2026 | oeffneFormular: Felder dynamisch aus felder_json via GET /mandant/:nr/formular-felder/:code statt hardcoded getFormularFelder. G-6: Auth unveraendert.
<!-- mandant_v9b.html | FIX-UI03 | 02.06.2026 | Formulare: form-status Badge groesser + gleiche Hoehe wie btn-ausfullen. G-6: Auth unveraendert.
<!-- mandant_v8.html | FIX-954 | 18.05.2026 | Mandanten-Portal an Backend-Auth-Familie 12 angeschlossen. NEU: /js/12_auth_core.js + /js/12_auth_menu.js (v2). Login per E-Mail+Passwort statt Mandant-Nr+Passwort (Spec Querschnitt §1). Mandant-Nr aus JWT. Token-Speicherung umgestellt auf raw-Token. login() Wrapper auf authCore.login() — POST /login statt obsoletem /mandant/login. getAuth() vereinfacht. window.onload Auto-Login an raw-Token angepasst. User-Menue in .hdr eingehaengt — alter btnLogout versteckt. logout() unveraendert. -->
<!-- mandant_v7e.html | FIX-942 | 10.05.2026 | Branchen-Module als iframe-Embed im Mandantenportal.
     Aenderungen ggue v7d:
     (1) Sidebar-Tab "🏝️ Reisen" → "📒 Reisebuch" (semantisch: §25-UStG-Aufzeichnungspflicht).
         Klick oeffnet Reisebuero-Modul jetzt INLINE als iframe statt neuen Browser-Tab.
     (2) Sidebar-Tab "📦 Warenbuch" default unsichtbar (war default sichtbar — falsch fuer
         Branchen ohne §25a UStG). Klick zeigt Warenbuch-Modul als iframe statt QR-Code-Seite.
     (3) Beide Tabs werden branchenabhaengig durch passe_sidebar_an_branche_937 eingeblendet:
         - Reisebuero (§25 UStG) → Reisebuch-Tab
         - Juwelier/KFZ/Gebrauchtwaren/Goldhandel/Antiquitaeten/Kunsthandel/Fahrzeughandel
           (§25a UStG Differenzbesteuerung) → Warenbuch-Tab
         - alle anderen Branchen → kein Nebenbuch-Tab
     (4) iframe-Lazy-Load: Token (mp_tok) wird beim ersten Tab-Klick als ?token= an
         /reisebuero.html bzw /warenbuch.html uebergeben. Funktion oeffneReisebuero() und
         oeffneWarenbuch() bleiben fuer "In neuem Tab oeffnen"-Button erhalten.
     (5) zeigTab() um 'Reisebuch' erweitert. Tab-Container #tabReisebuch und #tabWarenbuch
         enthalten Header-Bar (Titel + Buttons) + iframe.
-->
<!-- mandant_v7d.html | FIX-937 | 09.05.2026 | Branchen-spezifische Sidebar (Vorgaenger-Version) -->
<!-- mandant_v7a | FIX-927 | 09.05.2026 | BUGFIX zu v7: 6 Button-Klassen waren aus dem <style>-Block entfernt (Auslagerung nach /galona-ui.css). Ohne .btn-logo{position:relative} hat der absolute <input type=file> den ganzen Body ueberdeckt und JEDEN Klick als Logo-Upload-Dialog abgefangen ("Windows-Oberflaeche bei jedem Klick"-Bug). Fix: .btn-logo, .btn-logout, .btn-login, .btn-save, .btn-secondary, .btn-ausfullen wieder inline im <style>-Block. Sonst alle FIX-864 Aenderungen unveraendert (Datei-Browser-Tab, PDF-Viewer, file-browser.js Bindung). -->
<!-- mandant_v7 | FIX-864 | 03.05.2026 | Storage-Refactor 3-Ebenen-Architektur. Aenderungen ggue v6: (a) Bindet globale Komponenten /js/pdf-viewer.js und /js/file-browser.js ein. (b) NEUER Tab "Meine Dateien" mit drei Buttons: Buchungsbelege (verarbeitete GoBD-Belege pro Jahr/Monat), Download (zur-Pruefung-Belege+Reports), Stammdaten (Vertraege, Kontoauszuege, Formulare). Buttons rufen openFileBrowser() aus /js/file-browser.js auf. (c) PDF-Klick auf Datei oeffnet pdf-viewer.js Modal. Mandant sieht NICHT Originale/, _FEHLER/, _Buchhaltung/ (Backend filtert per JWT.typ='mandant'). FIX-803 Konsens-Hinweis im Belege-Tab unveraendert. -->
<!-- mandant_v6 | FIX-803 | 25.04.2026 | Phase 11.3: Galona-Konsens-Hinweis im Belege-Tab — informiert den Mandanten dass seine Belege durch 3-Ebenen-Konsens klassifiziert werden und sein Datenschutz gewahrt bleibt -->
<!-- mandant_v5a | FIX-784 | 24.04.2026 | Session-Fix: globaler fetch-Override mit 401-Interceptor, JWT-Ablaufpruefung, Multi-Tab-Sync -->
<!-- (c) 2024-2026 Galona Global Services LLC - galona.eu - All rights reserved. 17 U.S.C. § 501 -->
<!DOCTYPE html>
<html lang="de">
<head>
<meta charset="utf-8">
<meta name="copyright" content="© 2024-2026 Galona Global Services LLC. All rights reserved. Unauthorized use constitutes copyright infringement under 17 U.S.C. § 501.">
<meta name="viewport" content="width=device-width, initial-scale=1, maximum-scale=1">
<title>GALONA Mandanten-Portal</title>
<meta name="theme-color" content="#1a3a6b">
<meta name="apple-mobile-web-app-capable" content="yes">
<meta name="apple-mobile-web-app-title" content="Mein Portal">
<style>
:root{
  --navy:#1a3a6b;--navy2:#2451a0;--gold:#c9a84c;
  --red:#c5221f;--green:#1e8e3e;
  --bg:#f0f2f7;--white:#fff;--border:#dde1ea;--muted:#6b7a99;--text:#1a2233;
  --r:10px;--shadow:0 2px 14px rgba(0,0,0,.10);
}
*{box-sizing:border-box;margin:0;padding:0;}
body{font-family:'Segoe UI',system-ui,sans-serif;background:var(--bg);color:var(--text);min-height:100vh;}

.hdr{background:linear-gradient(135deg,var(--navy),var(--navy2));padding:14px 20px;
  display:flex;align-items:center;justify-content:space-between;
  position:sticky;top:0;z-index:100;box-shadow:0 2px 10px rgba(0,0,0,.2);}
.hdr-logo{display:flex;align-items:center;gap:10px;}
.hdr-logo img{height:32px;border-radius:4px;display:none;}
.hdr-logo .title{font-size:16px;font-weight:700;color:white;}
.hdr-logo .sub{font-size:11px;color:rgba(255,255,255,.65);display:block;}
.hdr-right{display:flex;align-items:center;gap:10px;}
.hdr-badge{background:rgba(255,255,255,.15);border-radius:20px;padding:4px 12px;color:white;font-size:11px;font-weight:600;}
.hdr-mandant{position:absolute;left:50%;top:50%;transform:translate(-50%,-50%);display:flex;align-items:center;gap:12px;pointer-events:none;max-width:50vw;}
.hdr-mandant img{height:40px;width:auto;border-radius:4px;object-fit:contain;}
.hdr-mandant .m-name{font-size:24px;font-weight:700;color:#fff;white-space:nowrap;overflow:hidden;text-overflow:ellipsis;}
/* LOGIN */
.login-wrap{display:flex;align-items:center;justify-content:center;min-height:90vh;padding:20px;}
.login-card{background:white;border-radius:16px;padding:32px 28px;width:100%;max-width:380px;box-shadow:var(--shadow);text-align:center;}
.login-icon{font-size:52px;margin-bottom:14px;}
.login-card h2{font-size:20px;color:var(--navy);margin-bottom:6px;}
.login-card p{font-size:13px;color:var(--muted);margin-bottom:22px;line-height:1.5;}
.login-inp{width:100%;padding:11px 13px;border:1.5px solid var(--border);border-radius:var(--r);
  font-size:15px;font-family:inherit;outline:none;margin-bottom:8px;text-align:center;}
.login-inp:focus{border-color:var(--navy);}
/* NAV TABS */
.nav-tabs{background:white;border-bottom:2px solid var(--border);display:flex;overflow-x:auto;}
.nav-tab{padding:12px 20px;font-size:13px;font-weight:600;color:var(--muted);cursor:pointer;
  white-space:nowrap;border-bottom:3px solid transparent;margin-bottom:-2px;}
.nav-tab.active{color:var(--navy);border-bottom-color:var(--navy);}

/* WRAP */
.wrap{max-width:800px;margin:0 auto;padding:20px 16px 60px;}
/* FIX-961 (v12): Reisebuch/Warenbuch brauchen volle Breite (Arbeitsflaeche + Beleg-Fenster + kuenftige Aussonderungs-Spalte). */
.wrap.wide{max-width:96vw;}

/* CARD */
.card{background:white;border-radius:var(--r);padding:20px;margin-bottom:14px;box-shadow:var(--shadow);}
.card-title{font-size:15px;font-weight:700;color:var(--navy);margin-bottom:16px;
  padding-bottom:10px;border-bottom:1px solid var(--border);display:flex;align-items:center;gap:8px;}

/* FORM */
.fg{margin-bottom:13px;}
.fg label{font-size:11px;font-weight:700;color:var(--muted);text-transform:uppercase;letter-spacing:.4px;display:block;margin-bottom:4px;}
.fg input,.fg select,.fg textarea{width:100%;padding:10px 12px;border:1.5px solid var(--border);
  border-radius:var(--r);font-size:15px;font-family:inherit;background:white;outline:none;}
.fg input:focus,.fg select:focus,.fg textarea:focus{border-color:var(--navy);}
.fg .hint{font-size:11px;color:var(--muted);margin-top:3px;}
.g2{display:grid;grid-template-columns:1fr 1fr;gap:12px;}
.g3{display:grid;grid-template-columns:1fr 1fr 1fr;gap:10px;}

/* LOGO */
.logo-box{display:flex;align-items:center;gap:16px;margin-bottom:16px;}
.logo-preview{width:80px;height:80px;border-radius:8px;border:2px solid var(--border);
  object-fit:contain;background:#f8f9fa;display:flex;align-items:center;justify-content:center;
  font-size:32px;overflow:hidden;}
.logo-preview img{width:100%;height:100%;object-fit:contain;}
.btn-logo{padding:9px 16px;background:var(--navy);color:white;border:none;border-radius:8px;font-size:13px;font-weight:600;cursor:pointer;position:relative;}
.btn-logo input{position:absolute;inset:0;opacity:0;cursor:pointer;}
.btn-logout{background:rgba(255,255,255,.15);border:1px solid rgba(255,255,255,.3);color:white;padding:5px 12px;border-radius:8px;cursor:pointer;font-size:12px;}
.btn-login{width:100%;padding:13px;background:var(--navy);color:white;border:none;border-radius:var(--r);font-size:15px;font-weight:700;cursor:pointer;}
.btn-save{padding:11px 24px;background:var(--green);color:white;border:none;border-radius:var(--r);font-size:14px;font-weight:700;cursor:pointer;}
.btn-secondary{padding:9px 18px;background:white;color:var(--navy);border:2px solid var(--navy);border-radius:var(--r);font-size:13px;font-weight:600;cursor:pointer;}
.btn-ausfullen{padding:7px 14px;background:var(--navy);color:white;border:none;border-radius:8px;font-size:12px;font-weight:700;cursor:pointer;}

/* BUTTONS */
.btn-save:disabled{opacity:.5;cursor:not-allowed;}
/* STATUS */
.stmsg{padding:11px 14px;border-radius:var(--r);font-size:14px;margin-top:10px;display:none;}
.stmsg.ok{background:#e6f4ea;color:var(--green);display:block;}
.stmsg.err{background:#fce8e6;color:var(--red);display:block;}
.stmsg.load{background:#e8f0fe;color:var(--navy2);display:block;}
.spin{display:inline-block;width:15px;height:15px;border:2px solid currentColor;
  border-top-color:transparent;border-radius:50%;animation:sp .7s linear infinite;vertical-align:middle;}
@keyframes sp{to{transform:rotate(360deg);}}

/* UPLOAD ZONE */
.upload-zone{border:2px dashed var(--border);border-radius:var(--r);padding:24px;
  text-align:center;cursor:pointer;background:#fafbfc;position:relative;margin-bottom:12px;}
.upload-zone:hover{border-color:var(--navy);background:#f0f4ff;}
.upload-zone input{position:absolute;inset:0;opacity:0;cursor:pointer;font-size:100px;}
.uz-icon{font-size:36px;margin-bottom:8px;}
.uz-txt{font-size:14px;color:var(--muted);}
.uz-sub{font-size:12px;color:var(--muted);margin-top:4px;}

/* DATEI LISTE */
.datei-item{display:flex;align-items:center;justify-content:space-between;
  padding:10px 12px;border:1px solid var(--border);border-radius:8px;margin-bottom:8px;background:white;}
.datei-icon{font-size:20px;margin-right:10px;}
.datei-name{font-size:13px;font-weight:600;flex:1;overflow:hidden;text-overflow:ellipsis;white-space:nowrap;}
.datei-size{font-size:11px;color:var(--muted);margin-left:8px;}
.datei-status{font-size:11px;padding:2px 8px;border-radius:10px;font-weight:700;}
.st-neu{background:#e8f0fe;color:var(--navy2);}
.st-verarbeitet{background:#e6f4ea;color:var(--green);}
.st-fehler{background:#fce8e6;color:var(--red);}

/* FORMULAR ITEM */
.form-item{border:1px solid var(--border);border-radius:var(--r);padding:14px 16px;margin-bottom:10px;background:white;}
.form-hdr{display:flex;justify-content:space-between;align-items:center;margin-bottom:8px;}
.form-titel{font-size:14px;font-weight:700;}
.form-status{font-size:12px;padding:7px 14px;border-radius:8px;font-weight:700;display:inline-flex;align-items:center;line-height:1;}
.fs-bereitgestellt{background:#fff3cd;color:#7a5000;}
.fs-ausgefuellt{background:#e8f0fe;color:var(--navy2);}
.fs-eingereicht{background:#e6f4ea;color:var(--green);}
.form-datum{font-size:11px;color:var(--muted);}
/* FORMULAR AUSFÜLLEN MODAL */
.modal-overlay{display:none;position:fixed;inset:0;background:rgba(0,0,0,.5);z-index:200;align-items:center;justify-content:center;padding:20px;}
.modal-overlay.show{display:flex;}
.modal{background:white;border-radius:16px;padding:24px;width:100%;max-width:600px;max-height:90vh;overflow-y:auto;}
.modal-title{font-size:16px;font-weight:700;color:var(--navy);margin-bottom:16px;padding-bottom:10px;border-bottom:1px solid var(--border);}
.modal-footer{display:flex;gap:10px;margin-top:16px;justify-content:flex-end;}

/* LEER */
.leer{text-align:center;padding:40px 20px;color:var(--muted);}
.leer .li{font-size:44px;margin-bottom:10px;}

@media(max-width:500px){.g2{grid-template-columns:1fr;}.g3{grid-template-columns:1fr 1fr;}}
</style>
<link rel="stylesheet" href="/galona-ui.css">
</head>
<body>

<div class="hdr">
  <div class="hdr-logo">
    <span>
      <span class="title" id="hdrKundeName"></span>
    </span>
  </div>
  <div class="hdr-mandant">
    <img id="hdrMandantLogo" src="" alt="">
    <span class="m-name" id="hdrMandantName"></span>
  </div>
</div>

<!-- LOGIN -->
<div id="loginScreen" class="login-wrap">
  <div class="login-card">
    <div class="login-icon">🏢</div>
    <h2>Mandanten-Portal</h2>
    <p>Bitte mit Ihrer Mandantennummer und Ihrem Passwort anmelden.</p>
    <input class="login-inp" id="liEmail" type="email" autocomplete="email" placeholder="E-Mail" onkeydown="if(event.key==='Enter')document.getElementById('liPw').focus()">
    <input class="login-inp" id="liPw" placeholder="Passwort" type="password"
           autocomplete="current-password" onkeydown="if(event.key==='Enter')login()">
    <button class="btn-login" onclick="login()">Anmelden</button>
    <div class="stmsg" id="loginMsg" style="text-align:left;margin-top:12px"></div>
    <div style="margin-top:16px;font-size:12px;color:var(--muted)">
      Kein Zugang? Bitte kontaktieren Sie Ihre Kanzlei.
    </div>
  </div>
</div>

<!-- HAUPT -->
<div id="hauptScreen" style="display:none">
  <div class="nav-tabs" id="navTabs">
    <div class="nav-tab active" onclick="zeigTab('stammdaten')">🏢 Meine Daten</div>
    <div class="nav-tab" onclick="zeigTab('belege')">📄 Belege hochladen</div>
    <div class="nav-tab" onclick="zeigTab('formulare')">📋 Formulare</div>
    <div class="nav-tab" id="tabReisebuchNav" style="display:none" onclick="zeigTab('reisebuch')">📒 Reisebuch</div>
    <div class="nav-tab" id="tabWarenbuchNav" style="display:none" onclick="zeigTab('warenbuch')">📦 Warenbuch</div>
    <div class="nav-tab" onclick="zeigTab('dateien')">📂 Meine Dateien</div>
  </div>

  <div class="wrap">

    <!-- TAB: STAMMDATEN -->
    <div id="tabStammdaten">
      <div class="card">
        <div class="card-title">🏢 Firmendaten</div>

        <!-- Logo -->
        <div class="logo-box">
          <div class="logo-preview" id="logoPreview">🏢</div>
          <div>
            <div style="font-size:13px;font-weight:600;margin-bottom:6px">Firmenlogo</div>
            <button class="btn-logo">
              <input type="file" accept="image/*" onchange="uploadLogo(this)">
              📷 Logo hochladen
            </button>
            <div style="font-size:11px;color:var(--muted);margin-top:4px">PNG, JPG max. 5MB</div>
          </div>
        </div>

        <div class="fg">
          <label>Firmenname</label>
          <input type="text" id="sdName" placeholder="Vollständiger Firmenname" readonly
                 style="background:#f8f9fa;color:var(--muted)">
        </div>
        <div class="g2">
          <div class="fg">
            <label>Geschäftsführer / Inhaber</label>
            <input type="text" id="sdGF" placeholder="Vor- und Nachname">
          </div>
          <div class="fg">
            <label>E-Mail</label>
            <input type="email" id="sdEmail" placeholder="kontakt@firma.de">
          </div>
        </div>
        <div class="g2">
          <div class="fg">
            <label>Telefon</label>
            <input type="tel" id="sdTelefon" placeholder="+49 30 123456">
          </div>
          <div class="fg">
            <label>Website</label>
            <input type="url" id="sdWebsite" placeholder="www.meinefirma.de">
          </div>
        </div>
      </div>

      <div class="card">
        <div class="card-title">📍 Adresse</div>
        <div class="fg">
          <label>Straße + Hausnummer</label>
          <input type="text" id="sdStrasse" placeholder="Musterstraße 1">
        </div>
        <div class="g2">
          <div class="fg">
            <label>PLZ</label>
            <input type="text" id="sdPlz" placeholder="10115" maxlength="10">
          </div>
          <div class="fg">
            <label>Ort</label>
            <input type="text" id="sdOrt" placeholder="Berlin">
          </div>
        </div>
      </div>

      <div class="card">
        <div class="card-title">🧾 Steuer & Bank</div>
        <div class="g2">
          <div class="fg">
            <label>Steuernummer</label>
            <input type="text" id="sdSteuerNr" placeholder="12/345/67890">
          </div>
          <div class="fg">
            <label>USt-ID</label>
            <input type="text" id="sdUstId" placeholder="DE123456789">
          </div>
        </div>
        <div class="fg">
          <label>IBAN</label>
          <input type="text" id="sdIban" placeholder="DE89 3704 0044 0532 0130 00"
                 style="letter-spacing:1px">
        </div>
        <div class="g2">
          <div class="fg">
            <label>BIC</label>
            <input type="text" id="sdBic" placeholder="COBADEFFXXX">
          </div>
          <div class="fg">
            <label>Bank</label>
            <input type="text" id="sdBank" placeholder="Commerzbank">
          </div>
        </div>
        <div class="fg">
          <label>Unterschrift-Text (für Belege)</label>
          <input type="text" id="sdUnterschrift" placeholder="z.B. Max Mustermann, Geschäftsführer">
          <div class="hint">Erscheint auf Ankaufbelegen und Formularen</div>
        </div>
      </div>

      <button class="btn-save" id="btnSaveSD" onclick="speichereStammdaten()">💾 Stammdaten speichern</button>
      <div class="stmsg" id="sdMsg"></div>
    </div>

    <!-- TAB: BELEGE -->
    <div id="tabBelege" style="display:none">

      <!-- FIX-803 | Phase 11.3 | 25.04.2026 — Galona-Konsens-Hinweis -->
      <div class="card" style="background:linear-gradient(135deg,#f5f9ff,#fff);border-left:4px solid #1a3a6b;padding:14px 18px;margin-bottom:14px;">
        <div style="display:flex;align-items:flex-start;gap:12px;">
          <div style="font-size:22px;line-height:1;">🎯</div>
          <div style="flex:1;">
            <div style="font-size:13px;font-weight:700;color:#1a3a6b;margin-bottom:4px;">Galona-Konsens hilft mit</div>
            <div style="font-size:12px;color:#4a5a7a;line-height:1.55;">
              Ihre Belege werden automatisch klassifiziert &mdash; nicht zuf&#228;llig, sondern auf Basis bew&#228;hrter Buchungs-Vorlagen.
              Was Ihre Kanzlei und andere Kanzleien gemeinsam best&#228;tigt haben (3-Ebenen-Konsens), wird zur globalen Galona-Vorlage.
              <span style="color:#6b7a99;">Ihre Daten bleiben in Ihrem Mandanten-Bereich &mdash; andere sehen sie nicht.</span>
            </div>
          </div>
        </div>
      </div>

      <div class="card">
        <div class="card-title">📄 Belege hochladen</div>
        <p style="font-size:13px;color:var(--muted);margin-bottom:16px;line-height:1.6">
          Laden Sie hier Ihre Eingangsrechnungen, Quittungen und sonstige Buchungsbelege hoch.
          Ihre Kanzlei erhält die Belege automatisch zur Verarbeitung.
        </p>
        <div class="upload-zone" id="uploadZone">
          <input type="file" id="belegFiles" multiple accept="image/*,.pdf"
                 onchange="handleBelegUpload(this)">
          <div class="uz-icon">📤</div>
          <div class="uz-txt">Tippen oder Dateien hierher ziehen</div>
          <div class="uz-sub">PDF, JPG, PNG — max. 20MB pro Datei</div>
        </div>
        <div id="uploadProgress" style="display:none">
          <div class="stmsg load"><span class="spin"></span> Wird hochgeladen...</div>
        </div>
        <div class="stmsg" id="uploadMsg"></div>
      </div>

      <div class="card">
        <div class="card-title">📋 Zuletzt hochgeladen</div>
        <div id="uploadListe"><div class="leer"><div class="li">📄</div>Noch keine Belege hochgeladen</div></div>
      </div>
    </div>

    <!-- TAB: FORMULARE -->
    <div id="tabFormulare" style="display:none">
      <div class="card">
        <div class="card-title">📋 Meine Formulare</div>
        <p style="font-size:13px;color:var(--muted);margin-bottom:16px;line-height:1.6">
          Hier finden Sie Formulare die Ihre Kanzlei für Sie bereitgestellt hat.
          Füllen Sie diese aus und reichen Sie sie direkt ein.
        </p>
        <div id="formularListe"><div class="leer"><div class="li">📋</div>Keine Formulare vorhanden</div></div>
      </div>
    </div>

    <!-- TAB: WARENBUCH -->
    <!-- TAB: REISEBUCH (FIX-942 — iframe-Embed) -->
    <div id="tabReisebuch" style="display:none">
      <div style="background:#fff;border-radius:var(--r);padding:14px 18px;margin-bottom:10px;box-shadow:var(--shadow);display:flex;justify-content:space-between;align-items:center;flex-wrap:wrap;gap:8px">
        <div>
          <div style="font-size:14px;font-weight:700;color:var(--navy)">📒 Reisebuch · §25 UStG</div>
          <div style="font-size:11px;color:var(--muted)">Erfassen, abrechnen und Aufzeichnungspflicht für Reiseleistungen.</div>
        </div>
        <button class="btn-secondary" onclick="oeffneReisebuero()">↗️ In neuem Tab öffnen</button>
      </div>
      <iframe id="reisebuchFrame" src="about:blank"
              style="width:100%;height:calc(100vh - 200px);min-height:600px;border:1px solid var(--border);border-radius:var(--r);background:#fff"></iframe>
    </div>

    <!-- TAB: WARENBUCH (FIX-942 — iframe-Embed) -->
    <div id="tabWarenbuch" style="display:none">
      <div style="background:#fff;border-radius:var(--r);padding:14px 18px;margin-bottom:10px;box-shadow:var(--shadow);display:flex;justify-content:space-between;align-items:center;flex-wrap:wrap;gap:8px">
        <div>
          <div style="font-size:14px;font-weight:700;color:var(--navy)">📦 Warenbuch · §25a UStG</div>
          <div style="font-size:11px;color:var(--muted)">Differenzbesteuerung — Wareneinkauf und Verkauf erfassen.</div>
        </div>
        <div style="display:flex;gap:8px">
          <button class="btn-secondary" onclick="druckeQR()">🖨️ QR drucken</button>
          <button class="btn-secondary" onclick="oeffneWarenbuch()">↗️ In neuem Tab öffnen</button>
        </div>
      </div>
      <iframe id="warenbuchFrame" src="about:blank"
              style="width:100%;height:calc(100vh - 200px);min-height:600px;border:1px solid var(--border);border-radius:var(--r);background:#fff"></iframe>

      <!-- QR Druck-Dialog -->
      <div id="qrDruckDiv" style="display:none;position:fixed;inset:0;background:rgba(0,0,0,.5);z-index:300;align-items:center;justify-content:center">
        <div style="background:white;border-radius:16px;padding:32px;text-align:center;max-width:320px;width:90%">
          <div style="font-size:15px;font-weight:700;color:var(--navy);margin-bottom:16px">GALONA Warenbuch</div>
          <img src="https://api.qrserver.com/v1/create-qr-code/?size=240x240&margin=10&data=https://portal.galona.eu/warenbuch.html"
               style="width:240px;height:240px">
          <div style="font-size:13px;color:var(--muted);margin-top:12px;line-height:1.6">
            QR-Code scannen um das<br>Warenbuch am Handy zu installieren
          </div>
          <div style="font-size:11px;color:var(--muted);margin-top:6px">portal.galona.eu/warenbuch.html</div>
          <div style="margin-top:20px;display:flex;gap:10px;justify-content:center">
            <button onclick="window.print()" class="btn-save">🖨️ Drucken</button>
            <button onclick="document.getElementById('qrDruckDiv').style.display='none'" class="btn-secondary">Schließen</button>
          </div>
        </div>
      </div>
    </div>

  </div>
</div>

<!-- FORMULAR AUSFÜLLEN MODAL -->
<div class="modal-overlay" id="formularModal">
  <div class="modal">
    <div class="modal-title" id="modalTitel">Formular ausfüllen</div>
    <div id="modalFelder"></div>
    <div class="modal-footer">
      <button class="btn-secondary" onclick="closeModal()">Abbrechen</button>
      <button class="btn-save" onclick="einreichenFormular()">📤 Einreichen</button>
    </div>
  

    <!-- TAB: MEINE DATEIEN (FIX-864) -->
    <div id="tabDateien" style="display:none">
      <div class="card">
        <div class="card-title">📂 Meine Dateien</div>
        <p style="color:#666;font-size:13px;margin:0 0 16px 0;">
          Hier sehen Sie alle Belege und Dokumente, die zu Ihrem Mandanten gehoeren.
          Klick auf einen Bereich oeffnet den Dateibrowser. PDF-Dateien lassen sich direkt anzeigen,
          mehrere Dateien koennen gemeinsam als ZIP heruntergeladen werden.
        </p>

        <div class="dateien-grid" style="display:grid;grid-template-columns:repeat(auto-fit,minmax(260px,1fr));gap:14px;margin-top:8px;">

          <div class="dateien-kachel" onclick="oeffneDateienBrowser('Buchungsbelege', 'Buchungsbelege')"
               style="cursor:pointer;border:1px solid #d6d6d6;border-radius:10px;padding:18px;background:#fff;transition:all .15s;"
               onmouseover="this.style.borderColor='#1a3a6b';this.style.boxShadow='0 4px 14px rgba(26,58,107,.12)';"
               onmouseout="this.style.borderColor='#d6d6d6';this.style.boxShadow='none';">
            <div style="font-size:28px;margin-bottom:8px;">📑</div>
            <div style="font-weight:600;font-size:15px;color:#1a3a6b;margin-bottom:4px;">Buchungsbelege</div>
            <div style="font-size:12px;color:#666;line-height:1.4;">Verarbeitete Belege nach Jahr und Monat. GoBD-konform umbenannt.</div>
          </div>

          <div class="dateien-kachel" onclick="oeffneDateienBrowser('Download', 'Zum Herunterladen')"
               style="cursor:pointer;border:1px solid #d6d6d6;border-radius:10px;padding:18px;background:#fff;transition:all .15s;"
               onmouseover="this.style.borderColor='#1a3a6b';this.style.boxShadow='0 4px 14px rgba(26,58,107,.12)';"
               onmouseout="this.style.borderColor='#d6d6d6';this.style.boxShadow='none';">
            <div style="font-size:28px;margin-bottom:8px;">📥</div>
            <div style="font-weight:600;font-size:15px;color:#1a3a6b;margin-bottom:4px;">Download</div>
            <div style="font-size:12px;color:#666;line-height:1.4;">Belege zur Pruefung und Reports zum Herunterladen.</div>
          </div>

          <div class="dateien-kachel" onclick="oeffneDateienBrowser('Stammdaten', 'Stammdaten')"
               style="cursor:pointer;border:1px solid #d6d6d6;border-radius:10px;padding:18px;background:#fff;transition:all .15s;"
               onmouseover="this.style.borderColor='#1a3a6b';this.style.boxShadow='0 4px 14px rgba(26,58,107,.12)';"
               onmouseout="this.style.borderColor='#d6d6d6';this.style.boxShadow='none';">
            <div style="font-size:28px;margin-bottom:8px;">📁</div>
            <div style="font-weight:600;font-size:15px;color:#1a3a6b;margin-bottom:4px;">Stammdaten</div>
            <div style="font-size:12px;color:#666;line-height:1.4;">Vertraege, Korrespondenz, Kontoauszuege, Formulare.</div>
          </div>

          <div class="dateien-kachel" onclick="oeffneDateienBrowser('Upload', 'Eingang')"
               style="cursor:pointer;border:1px solid #d6d6d6;border-radius:10px;padding:18px;background:#fff;transition:all .15s;"
               onmouseover="this.style.borderColor='#1a3a6b';this.style.boxShadow='0 4px 14px rgba(26,58,107,.12)';"
               onmouseout="this.style.borderColor='#d6d6d6';this.style.boxShadow='none';">
            <div style="font-size:28px;margin-bottom:8px;">📤</div>
            <div style="font-weight:600;font-size:15px;color:#1a3a6b;margin-bottom:4px;">Eingang</div>
            <div style="font-size:12px;color:#666;line-height:1.4;">Hochgeladene, noch nicht verarbeitete Belege.</div>
          </div>

        </div>
      </div>
    </div>
    <!-- /TAB MEINE DATEIEN -->
</div>
</div>

<script>
var API = 'https://api.galona.eu';
var TK = 'mp_tok'; // mandant portal token
var _mandantNr = '', _kursFormularId = null;

// ── SESSION-MANAGEMENT (FIX-784) ─────────────────────────────
// Globaler fetch-Override: jeder 401 loest sauberen Re-Login aus
var _sessionAbgelaufen = false;
function _decodeJWT(t){
  try{
    var p=t.split('.');if(p.length<2)return null;
    var b=p[1].replace(/-/g,'+').replace(/_/g,'/');
    while(b.length%4)b+='=';
    return JSON.parse(atob(b));
  }catch(e){return null;}
}
function _tokenGueltig(t){
  if(!t)return false;
  var p=_decodeJWT(t);
  if(!p||!p.exp)return false;
  return p.exp*1000 > Date.now()+5000;
}
function _cleanLocalStorage(){
  var keep=['ui_theme','ui_language','spalten_breite'];
  var toRemove=[];
  for(var i=0;i<localStorage.length;i++){
    var k=localStorage.key(i);
    if(keep.indexOf(k)<0)toRemove.push(k);
  }
  toRemove.forEach(function(k){localStorage.removeItem(k);});
}
function _zeigeSessionAbgelaufen(){
  if(_sessionAbgelaufen)return;
  _sessionAbgelaufen=true;
  _cleanLocalStorage();
  var ls=document.getElementById('loginScreen');
  var hs=document.getElementById('hauptScreen');
  if(hs)hs.style.display='none';
  if(ls){
    ls.style.display='block';
    var msg=document.getElementById('loginMsg');
    if(msg){
      msg.className='msg err';
      msg.textContent='Ihre Sitzung ist abgelaufen — bitte neu anmelden';
      msg.style.display='block';
    }
  }
}
// Globaler fetch-Override: 401 automatisch abfangen
(function(){
  var originalFetch = window.fetch;
  window.fetch = function(url, opts){
    return originalFetch(url, opts).then(function(r){
      if(r.status===401 && url && String(url).indexOf('/login')<0){
        _zeigeSessionAbgelaufen();
      }
      return r;
    });
  };
})();
// Multi-Tab-Sync
window.addEventListener('storage',function(e){
  if(e.key===TK && !e.newValue && !_sessionAbgelaufen){
    _zeigeSessionAbgelaufen();
  }
});
// Watchdog
setInterval(function(){
  var s=localStorage.getItem(TK);
  if(s){
    try{
      var d=JSON.parse(s);
      if(d.token && !_tokenGueltig(d.token) && !_sessionAbgelaufen){
        _zeigeSessionAbgelaufen();
      }
    }catch(e){}
  }
},30000);
// ─────────────────────────────────────────────────────────────

// ── LOGIN ──
function login() {
  var em = document.getElementById('liEmail').value.trim();
  var pw = document.getElementById('liPw').value;
  if (!em || !pw) { sm('loginMsg','err','Bitte E-Mail und Passwort eingeben'); return; }
  sm('loginMsg','load','<span class="spin"></span> Anmelden...');
  if (!window.authCore) {
    sm('loginMsg','err','Auth-Modul nicht geladen');
    return;
  }
  window.authCore.login(em, pw).then(function(d) {
    if (d && !d.ok && !d.zweite_stufe) {
      sm('loginMsg','err', d.fehler || 'Anmeldung fehlgeschlagen');
    }
  });
}

function getAuth() {
  return localStorage.getItem(TK) || null;
}

function logout() {
  _cleanLocalStorage();
  location.reload();
}

function startHaupt(name) {
  // FIX-930 (v7c): getAuth() liefert den geparsten Token-String,
  // localStorage.getItem('mp_tok') liefert den raw JSON-Wrapper -> 401 in /zustimmung.
  var tok = getAuth() || '';
  pruefeZustimmung(API, tok, function(){ _startHauptIntern(name); });
}
function _startHauptIntern(name) {
  document.getElementById('loginScreen').style.display = 'none';
  document.getElementById('hauptScreen').style.display = 'block';
  document.getElementById('hdrMandantName').textContent = name;
  ladeKundeName();
  ladeStammdaten();
  ladeUploads();
  ladeFormulare();
}

window.onload = function() {
  var t = localStorage.getItem(TK);
  if (!t) return;
  if (!_tokenGueltig(t)) {
    _cleanLocalStorage();
    return;
  }
  var p = _decodeJWT(t);
  if (p && (p.mandant_nr || p.mandantNr)) {
    _mandantNr = p.mandant_nr || p.mandantNr;
    startHaupt(p.mandant_name || p.email || p.user || _mandantNr);
  } else {
    _cleanLocalStorage();
  }
};

// ── TABS ──
function oeffneWarenbuch(){
  var s=localStorage.getItem('mp_tok');
  var tok='';
  if(s){try{var d=JSON.parse(s);tok=d.token||'';}catch(e){}}
  window.open('/warenbuch.html?token='+encodeURIComponent(tok),'_blank');
}
function oeffneReisebuero(){
  var s=localStorage.getItem('mp_tok');
  var tok='';
  if(s){try{var d=JSON.parse(s);tok=d.token||'';}catch(e){}}
  window.open('/reisebuero.html?token='+encodeURIComponent(tok),'_blank');
}
// FIX-942: iframe-Embed Lazy-Load
function _ladeIframeMitToken_942(iframeId, url) {
  var iframe = document.getElementById(iframeId);
  if (!iframe) return;
  if (iframe.dataset.loaded === '1') return;
  var tok = localStorage.getItem('mp_tok') || '';
  iframe.src = url + '?token=' + encodeURIComponent(tok);
  iframe.dataset.loaded = '1';
}
function zeigTab(t) {
  // FIX-942: 'Reisebuch' ergaenzt zur Tab-Liste
  ['Stammdaten','Belege','Formulare','Reisebuch','Warenbuch','Dateien'].forEach(function(n) {
    var el = document.getElementById('tab'+n);
    if (el) el.style.display = t === n.toLowerCase() ? 'block' : 'none';
  });
  document.querySelectorAll('.nav-tab').forEach(function(el, i) {
    el.classList.toggle('active', el.textContent.toLowerCase().includes(t));
  });
  // Lazy-Load der iframes erst beim Tab-Wechsel
  if (t === 'reisebuch') _ladeIframeMitToken_942('reisebuchFrame', '/reisebuero.html');
  if (t === 'warenbuch') _ladeIframeMitToken_942('warenbuchFrame', '/warenbuch.html');
  // FIX-961: Volle Breite fuer Buch-Module, schmale Spalte fuer alle anderen Tabs
  var _wrap = document.querySelector('.wrap');
  if (_wrap) _wrap.classList.toggle('wide', (t === 'reisebuch' || t === 'warenbuch'));
}

// FIX-864: Helper — File-Browser fuer den jeweiligen Bereich oeffnen
function oeffneDateienBrowser(bereich, titel) {
  if (!_mandantNr) {
    alert('Mandantendaten nicht geladen — bitte Seite neu laden');
    return;
  }
  if (typeof window.openFileBrowser !== 'function') {
    alert('Dateibrowser-Komponente nicht geladen');
    return;
  }
  window.openFileBrowser(_mandantNr, bereich, titel || bereich);
}

// ── STAMMDATEN ──
function ladeKundeName() {
  var el = document.getElementById('hdrKundeName');
  if (!el || !_mandantNr) return;
  fetch(API + '/mandant/' + _mandantNr + '/kunde', { headers: { 'Authorization': getAuth() } })
    .then(function(r){ return r.json(); }).then(function(r) {
      if (r && r.ok && r.kunde_name) { el.textContent = r.kunde_name; el.title = r.kunde_name; }
    }).catch(function(){});
}
function ladeStammdaten() {
  fetch(API + '/mandant/' + _mandantNr + '/stammdaten', { headers: { 'Authorization': getAuth() } })
    .then(function(r){ return r.json(); }).then(function(r) {
      if (!r.ok) return;
      var d = r.stammdaten;
      document.getElementById('sdName').value = d.mandant_name || '';
      var _mn=document.getElementById('hdrMandantName'); if(_mn&&d.mandant_name)_mn.textContent=d.mandant_name;
      document.getElementById('sdGF').value = d.gf_name || '';
      document.getElementById('sdEmail').value = d.mandant_email || '';
      document.getElementById('sdTelefon').value = d.telefon || '';
      document.getElementById('sdWebsite').value = d.website || '';
      document.getElementById('sdStrasse').value = d.strasse || '';
      document.getElementById('sdPlz').value = d.plz || '';
      document.getElementById('sdOrt').value = d.ort || '';
      document.getElementById('sdSteuerNr').value = d.steuernummer || '';
      document.getElementById('sdUstId').value = d.ust_id || '';
      document.getElementById('sdIban').value = d.iban || '';
      document.getElementById('sdBic').value = d.bic || '';
      document.getElementById('sdBank').value = d.bank_name || '';
      document.getElementById('sdUnterschrift').value = d.unterschrift_text || '';
      // Logo
      if (d.logo_pfad) {
        var lp = document.getElementById('logoPreview');
        lp.innerHTML = '<img src="' + API + '/mandant-logo/' + d.logo_pfad + '" alt="Logo">';
        var hl = document.getElementById('hdrMandantLogo');
        hl.src = API + '/mandant-logo/' + d.logo_pfad;
        hl.style.display = 'block';
      }
      // FIX-937: Branche-spezifische Sidebar — Reisebuero zeigt Reisen statt Warenbuch
      passe_sidebar_an_branche_937(d.geschaeftstaetigkeit || '');
    }).catch(function() {});
}

// FIX-942: Sidebar an Branche anpassen — beide Tabs default unsichtbar,
// werden nur fuer passende Branchen eingeblendet.
function passe_sidebar_an_branche_937(branche) {
  var b = String(branche || '').toLowerCase().trim();
  var reisebuchTab = document.getElementById('tabReisebuchNav');
  var warenbuchTab = document.getElementById('tabWarenbuchNav');

  // Reisebuch nach §25 UStG (Margenbesteuerung Reisebuero)
  var istReisebuero = (b === 'reisebuero' || b === 'reiseburo' || b === 'reisebüro');

  // Warenbuch nach §25a UStG (Differenzbesteuerung)
  var par25aBranchen = ['juwelier','kfz','kfz-handel','kfz-werkstatt','gebrauchtwaren',
                        'goldhandel','antiquitaeten','antiquitäten','kunsthandel',
                        'fahrzeughandel','gebrauchtfahrzeuge'];
  var istPar25a = par25aBranchen.indexOf(b) >= 0;

  if (reisebuchTab) reisebuchTab.style.display = istReisebuero ? 'block' : 'none';
  if (warenbuchTab) warenbuchTab.style.display = istPar25a    ? 'block' : 'none';
}

function speichereStammdaten() {
  var btn = document.getElementById('btnSaveSD');
  btn.disabled = true;
  sm('sdMsg','load','<span class="spin"></span> Wird gespeichert...');
  var payload = {
    gf_name: document.getElementById('sdGF').value,
    mandant_email: document.getElementById('sdEmail').value,
    telefon: document.getElementById('sdTelefon').value,
    website: document.getElementById('sdWebsite').value,
    strasse: document.getElementById('sdStrasse').value,
    plz: document.getElementById('sdPlz').value,
    ort: document.getElementById('sdOrt').value,
    steuernummer: document.getElementById('sdSteuerNr').value,
    ust_id: document.getElementById('sdUstId').value,
    iban: document.getElementById('sdIban').value,
    bic: document.getElementById('sdBic').value,
    bank_name: document.getElementById('sdBank').value,
    unterschrift_text: document.getElementById('sdUnterschrift').value
  };
  fetch(API + '/mandant/' + _mandantNr + '/stammdaten', {
    method: 'PATCH', headers: { 'Authorization': getAuth(), 'Content-Type': 'application/json' },
    body: JSON.stringify(payload)
  }).then(function(r){ return r.json(); }).then(function(r) {
    btn.disabled = false;
    if (r.ok) sm('sdMsg','ok','✅ Gespeichert');
    else sm('sdMsg','err', r.fehler || 'Fehler');
  }).catch(function() { btn.disabled = false; sm('sdMsg','err','Verbindungsfehler'); });
}

function uploadLogo(inp) {
  if (!inp.files.length) return;
  var fd = new FormData();
  fd.append('logo', inp.files[0]);
  fetch(API + '/mandant/' + _mandantNr + '/logo', {
    method: 'POST', headers: { 'Authorization': getAuth() }, body: fd
  }).then(function(r){ return r.json(); }).then(function(r) {
    if (r.ok) {
      var lp = document.getElementById('logoPreview');
      lp.innerHTML = '<img src="' + API + '/mandant-logo/' + r.logo_pfad + '?t=' + Date.now() + '" alt="Logo">';
      var hl = document.getElementById('hdrMandantLogo');
      hl.src = API + '/mandant-logo/' + r.logo_pfad + '?t=' + Date.now();
      hl.style.display = 'block';
      sm('sdMsg','ok','✅ Logo gespeichert');
    }
  }).catch(function() {});
}

// ── BELEGE UPLOAD ──
function handleBelegUpload(inp) {
  if (!inp.files.length) return;
  document.getElementById('uploadProgress').style.display = 'block';
  document.getElementById('uploadMsg').style.display = 'none';
  var fd = new FormData();
  for (var i = 0; i < inp.files.length; i++) fd.append('dateien', inp.files[i]);
  fetch(API + '/mandant/' + _mandantNr + '/upload', {
    method: 'POST', headers: { 'Authorization': getAuth() }, body: fd
  }).then(function(r){ return r.json(); }).then(function(r) {
    document.getElementById('uploadProgress').style.display = 'none';
    if (r.ok) {
      sm('uploadMsg','ok','✅ ' + r.anzahl + ' Datei(en) erfolgreich hochgeladen');
      inp.value = '';
      ladeUploads();
    } else sm('uploadMsg','err', r.fehler || 'Fehler');
  }).catch(function() {
    document.getElementById('uploadProgress').style.display = 'none';
    sm('uploadMsg','err','Verbindungsfehler');
  });
}

function ladeUploads() {
  fetch(API + '/mandant/' + _mandantNr + '/uploads', { headers: { 'Authorization': getAuth() } })
    .then(function(r){ return r.json(); }).then(function(r) {
      if (!r.ok || !r.uploads.length) {
        document.getElementById('uploadListe').innerHTML = '<div class="leer"><div class="li">📄</div>Noch keine Belege hochgeladen</div>';
        return;
      }
      document.getElementById('uploadListe').innerHTML = r.uploads.map(function(u) {
        var icon = u.mime_type && u.mime_type.includes('pdf') ? '📄' : '🖼️';
        var kb = u.datei_groesse ? Math.round(u.datei_groesse / 1024) + ' KB' : '';
        var dat = u.hochgeladen_am ? new Date(u.hochgeladen_am).toLocaleDateString('de-DE') : '';
        var stClass = { neu: 'st-neu', verarbeitet: 'st-verarbeitet', fehler: 'st-fehler' }[u.status] || 'st-neu';
        return '<div class="datei-item">'
          + '<span class="datei-icon">' + icon + '</span>'
          + '<span class="datei-name">' + esc(u.original_name) + '</span>'
          + '<span class="datei-size">' + kb + '</span>'
          + '<span class="datei-status ' + stClass + '">' + (u.status || 'neu') + '</span>'
          + '</div>';
      }).join('');
    }).catch(function() {});
}

// ── FORMULARE ──
function ladeFormulare() {
  fetch(API + '/mandant/' + _mandantNr + '/formulare', { headers: { 'Authorization': getAuth() } })
    .then(function(r){ return r.json(); }).then(function(r) {
      if (!r.ok || !r.formulare.length) {
        document.getElementById('formularListe').innerHTML = '<div class="leer"><div class="li">📋</div>Keine Formulare vorhanden</div>';
        return;
      }
      document.getElementById('formularListe').innerHTML = r.formulare.map(function(f) {
        var stClass = { bereitgestellt:'fs-bereitgestellt', ausgefuellt:'fs-ausgefuellt', eingereicht:'fs-eingereicht' }[f.status] || 'fs-bereitgestellt';
        var stText = { bereitgestellt:'Ausstehend', ausgefuellt:'Ausgefüllt', eingereicht:'Eingereicht' }[f.status] || f.status;
        var dat = f.bereitgestellt_am ? new Date(f.bereitgestellt_am).toLocaleDateString('de-DE') : '';
        var btn = f.status !== 'eingereicht'
          ? '<button class="btn-ausfullen" onclick="oeffneFormular(' + f.id + ',\'' + esc(f.formular_titel) + '\',\'' + f.formular_typ + '\')">✏️ Ausfüllen</button>'

          : '';
        return '<div class="form-item">'
          + '<div style="display:flex;justify-content:space-between;align-items:center;gap:10px">'
          + '<div><span class="form-titel">' + esc(f.formular_titel) + '</span>'
          + '<div class="form-datum">Bereitgestellt: ' + dat + '</div></div>'
          + '<div style="display:flex;align-items:center;gap:8px;flex-shrink:0">'
          + '<span class="form-status ' + stClass + '">' + stText + '</span>' + btn + '</div>'
          + '</div></div>';
      }).join('');
    }).catch(function() {});
}

function oeffneFormular(id, titel, typ) {
  _kursFormularId = id;
  document.getElementById('modalTitel').textContent = titel;
  document.getElementById('modalFelder').innerHTML = '<div style="text-align:center;padding:20px;color:#888">Lade Felder...</div>';
  document.getElementById('formularModal').classList.add('show');
  // Felder dynamisch aus DB laden
  fetch(API + '/mandant/' + _mandantNr + '/formular-felder/' + encodeURIComponent(typ), {
    headers: { 'Authorization': getAuth() }
  }).then(function(r){ return r.json(); }).then(function(r) {
    if (!r.ok || !r.felder || !r.felder.length) {
      // Fallback auf hardcodierte Felder
      document.getElementById('modalFelder').innerHTML = getFormularFelder((typ||'').toLowerCase());
      return;
    }
    var html = r.felder.map(function(f) {
      var inp = '';
      if (f.typ === 'date') {
        inp = '<input type="date" id="mf_' + f.platzhalter + '" value="' + new Date().toISOString().slice(0,10) + '"' + (f.pflicht?' required':'') + '>';
      } else if (f.typ === 'currency' || f.typ === 'number') {
        inp = '<input type="number" id="mf_' + f.platzhalter + '" step="0.01" placeholder="0.00"' + (f.pflicht?' required':'') + '>';
      } else if (f.typ === 'textarea') {
        inp = '<textarea id="mf_' + f.platzhalter + '" placeholder="' + (f.label||'') + '"' + (f.pflicht?' required':'') + '></textarea>';
      } else {
        inp = '<input type="text" id="mf_' + f.platzhalter + '" placeholder="' + (f.label||'') + '"' + (f.pflicht?' required':'') + '>';
      }
      return '<div class="fg"><label>' + esc(f.label) + (f.pflicht?' <span style="color:red">*</span>':'') + '</label>' + inp + '</div>';
    }).join('');
    document.getElementById('modalFelder').innerHTML = html;
  }).catch(function() {
    document.getElementById('modalFelder').innerHTML = getFormularFelder((typ||'').toLowerCase());
  });
}

function getFormularFelder(typ) {
  var base = '<div class="fg"><label>Datum</label><input type="date" id="mf_datum" value="' + new Date().toISOString().slice(0,10) + '"></div>';
  if (typ === 'reisekosten') return base
    + '<div class="fg"><label>Reiseziel</label><input type="text" id="mf_ziel" placeholder="Berlin"></div>'
    + '<div class="fg"><label>Reisezweck</label><input type="text" id="mf_zweck" placeholder="Kundentermin"></div>'
    + '<div class="g2"><div class="fg"><label>Abfahrt</label><input type="datetime-local" id="mf_abfahrt"></div>'
    + '<div class="fg"><label>Rückkunft</label><input type="datetime-local" id="mf_rueckkehr"></div></div>'
    + '<div class="g2"><div class="fg"><label>km (PKW)</label><input type="number" id="mf_km" placeholder="0"></div>'
    + '<div class="fg"><label>Betrag gesamt (€)</label><input type="number" id="mf_betrag" step="0.01" placeholder="0.00"></div></div>'
    + '<div class="fg"><label>Bemerkung</label><textarea id="mf_bem" placeholder="Weitere Angaben..."></textarea></div>';
  if (typ === 'bewirtung') return base
    + '<div class="fg"><label>Restaurant / Ort</label><input type="text" id="mf_ort" placeholder="Restaurant Name, Ort"></div>'
    + '<div class="fg"><label>Anlass / Geschäftszweck</label><input type="text" id="mf_anlass" placeholder="z.B. Kundengespräch"></div>'
    + '<div class="fg"><label>Teilnehmer</label><textarea id="mf_teilnehmer" placeholder="Namen der Teilnehmer"></textarea></div>'
    + '<div class="fg"><label>Rechnungsbetrag (€)</label><input type="number" id="mf_betrag" step="0.01" placeholder="0.00"></div>';
  if (typ === 'eigenbeleg') return base
    + '<div class="fg"><label>Beschreibung</label><input type="text" id="mf_bez" placeholder="Was wurde gekauft/bezahlt?"></div>'
    + '<div class="fg"><label>Betrag (€)</label><input type="number" id="mf_betrag" step="0.01" placeholder="0.00"></div>'
    + '<div class="fg"><label>Begründung</label><textarea id="mf_bem" placeholder="Warum kein Beleg vorhanden?"></textarea></div>';
  if (typ === 'barquittung') return base
    + '<div class="fg"><label>Empfänger</label><input type="text" id="mf_empfaenger" placeholder="Name, Firma"></div>'
    + '<div class="fg"><label>Betrag (€)</label><input type="number" id="mf_betrag" step="0.01" placeholder="0.00"></div>'
    + '<div class="fg"><label>Verwendungszweck</label><input type="text" id="mf_zweck" placeholder="z.B. Büromaterial"></div>'
    + '<div class="fg"><label>Bemerkung</label><textarea id="mf_bem" placeholder="Weitere Angaben..."></textarea></div>';
  if (typ === 'privateinlage') return base
    + '<div class="fg"><label>Betrag (€)</label><input type="number" id="mf_betrag" step="0.01" placeholder="0.00"></div>'
    + '<div class="fg"><label>Herkunft</label><input type="text" id="mf_herkunft" placeholder="z.B. Privatkonto, Barvermögen"></div>'
    + '<div class="fg"><label>Bemerkung</label><textarea id="mf_bem" placeholder="Weitere Angaben..."></textarea></div>';
  if (typ === 'privatentnahme') return base
    + '<div class="fg"><label>Betrag (€)</label><input type="number" id="mf_betrag" step="0.01" placeholder="0.00"></div>'
    + '<div class="fg"><label>Verwendungszweck</label><input type="text" id="mf_zweck" placeholder="z.B. private Lebenshaltung"></div>'
    + '<div class="fg"><label>Bemerkung</label><textarea id="mf_bem" placeholder="Weitere Angaben..."></textarea></div>';
  // Default
  return base + '<div class="fg"><label>Hinweis</label><textarea id="mf_bem" placeholder="Anmerkungen..."></textarea></div>';
}

function downloadBlankoFormular(code) {
  if(!_mandantNr||!code)return;
  var tok=typeof getAuth==='function'?getAuth():'';
  fetch(API+'/formular/'+encodeURIComponent(_mandantNr)+'/'+encodeURIComponent(code)+'.docx',{headers:{'Authorization':tok}})
    .then(function(r){if(!r.ok)throw new Error('Fehler');return r.blob();})
    .then(function(b){var a=document.createElement('a');a.href=URL.createObjectURL(b);a.download=code+'.docx';document.body.appendChild(a);a.click();document.body.removeChild(a);URL.revokeObjectURL(a.href);})
    .catch(function(){alert('Download fehlgeschlagen');});
}
function closeModal() {
  document.getElementById('formularModal').classList.remove('show');
  _kursFormularId = null;
}

function einreichenFormular() {
  if (!_kursFormularId) return;
  // Alle Inputs im Modal sammeln
  var felder = {};
  document.querySelectorAll('#modalFelder input, #modalFelder textarea, #modalFelder select').forEach(function(el) {
    if (el.id) felder[el.id.replace('mf_', '')] = el.value;
  });
  fetch(API + '/mandant/' + _mandantNr + '/formulare/' + _kursFormularId + '/einreichen', {
    method: 'POST', headers: { 'Authorization': getAuth(), 'Content-Type': 'application/json' },
    body: JSON.stringify({ felder: felder })
  }).then(function(r){ return r.json(); }).then(function(r) {
    closeModal();
    if (r.ok) { ladeFormulare(); sm('sdMsg','ok','✅ Formular eingereicht'); }
  }).catch(function() {});
}

function druckeQR() {
  var d = document.getElementById('qrDruckDiv');
  d.style.display = 'flex';
}

function sm(id, t, h) { var e=document.getElementById(id); e.className='stmsg '+t; e.innerHTML=h; e.style.display='block'; }
function esc(s) { return String(s||'').replace(/&/g,'&amp;').replace(/</g,'&lt;').replace(/>/g,'&gt;'); }
</script>

<div style="display:none" aria-hidden="true">© 2024-2026 Galona Global Services LLC. All rights reserved. 17 U.S.C. § 501 — galona.eu</div>

<script>
// ============================================================
// AGB/DSGVO ZUSTIMMUNGSDIALOG — gemeinsamer Code für alle Portale
// © 2024-2026 Galona Global Services LLC — galona.eu
// ============================================================

var _zustimmungCallback = null;

var AGB_TEXT = [
  { titel: '§ 1 Vertragspartner', text: 'Galona Global Services LLC · 1209 Mountain Road Pl NE Ste N · 87110 Albuquerque, New Mexico, USA · EIN: 36-5119940 · office@galona.eu · +34 616 830 399' },
  { titel: '§ 2 Geltungsbereich', text: 'Diese AGB gelten für alle Geschäftsbeziehungen zwischen Galona Global Services LLC und Auftraggebern. Abweichende Bedingungen gelten nur mit schriftlicher Zustimmung.' },
  { titel: '§ 3 Vergütung', text: 'Stundensatz Beratung: 120,00 € pro angefangene Stunde. SaaS-Nutzungsgebühren (GALONA-Plattform) werden gesondert vereinbart. Für deutschsprachige Kunden wird ein Rabatt von 50 % auf den Beratungsstundensatz gewährt.' },
  { titel: '§ 4 Zahlungsbedingungen', text: 'Rechnungen sind sofort fällig. Zahlungen per Stripe oder Überweisung. Bei Zahlungsverzug: 12 % p.a. Verzugszinsen + Mahnkosten.' },
  { titel: '§ 5 Haftungsausschluss', text: 'Für Beratungsleistungen haftet Galona Global Services LLC nur für Vorsatz und grobe Fahrlässigkeit, begrenzt auf 1.000,00 €. Folgeschäden sind ausgeschlossen.\n\nSaaS / GALONA-Plattform: Alle KI-generierten Buchungsvorschläge sind Entwürfe. Die Prüfung, Freigabe und steuerrechtliche Verantwortung obliegen ausschließlich dem Auftraggeber bzw. seinem Steuerberater. Galona Global Services LLC übernimmt keine Haftung für Folgeschäden aus KI-Buchungsentwürfen.' },
  { titel: '§ 6 Keine Erfolgsgarantie', text: 'Der Berater schuldet die Erbringung einer Dienstleistung, nicht jedoch bestimmte Ergebnisse.' },
  { titel: '§ 7 Anwendbares Recht', text: 'Diese Vereinbarung unterliegt dem Recht des Staates New Mexico, USA. Für EU-Kunden gelten zusätzlich die zwingenden Verbraucherschutzbestimmungen des Wohnsitzlandes. Stand: April 2026.' }
];

var DSGVO_TEXT = [
  { titel: 'Verantwortlicher', text: 'Galona Global Services LLC · 1209 Mountain Road Pl NE Ste N · 87110 Albuquerque, NM, USA · office@galona.eu' },
  { titel: 'Zweck der Verarbeitung', text: 'KI-gestützte automatische Belegverarbeitung und Buchungsentwurf gemäß Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 22 DSGVO (automatisierte Entscheidungsfindung).' },
  { titel: 'Eingesetzte KI-Systeme', text: 'Google Gemini (Google LLC, EU-Frankfurt) — KI-Analyse primär\nClaude API (Anthropic, EU-konform) — KI-Analyse Fallback\nGoogle Vision API (Google LLC, EU-Frankfurt) — OCR-Texterkennung\niLovePDF (iLovePDF S.L., Spanien) — PDF-Verarbeitung\nGoogle Drive (Google LLC, EU-Frankfurt) — Dokumentenspeicherung\n\nMit allen Anbietern bestehen Auftragsverarbeitungsverträge gem. Art. 28 DSGVO.' },
  { titel: 'Ihre Rechte', text: 'Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung. Alle Daten werden bei Vertragsende unwiderruflich gelöscht. Aufbewahrungspflichten gemäß § 147 AO (10 Jahre) liegen in Ihrer Verantwortung.' },
  { titel: 'Hinweis', text: 'KI-Buchungsvorschläge sind Entwürfe. Prüfung und Freigabe vor Import in DATEV/Lexware liegen ausschließlich in Ihrer Verantwortung.' }
];

function zeigeZustimmungDialog(api, token, callback) {
  _zustimmungCallback = callback;
  var ol = document.createElement('div');
  ol.id = 'zustimmungOverlay';
  ol.style.cssText = 'position:fixed;inset:0;background:rgba(0,0,0,.7);z-index:99999;display:flex;align-items:center;justify-content:center;padding:16px;';

  var agbHtml = AGB_TEXT.map(function(s){
    return '<div style="margin-bottom:10px"><strong style="color:#1a3a6b">'+s.titel+'</strong><div style="margin-top:3px;font-size:12px;color:#444;white-space:pre-line">'+s.text+'</div></div>';
  }).join('');

  var dsgvoHtml = DSGVO_TEXT.map(function(s){
    return '<div style="margin-bottom:10px"><strong style="color:#1a3a6b">'+s.titel+'</strong><div style="margin-top:3px;font-size:12px;color:#444;white-space:pre-line">'+s.text+'</div></div>';
  }).join('');

  ol.innerHTML = '<div style="background:#fff;border-radius:12px;width:100%;max-width:600px;max-height:90vh;display:flex;flex-direction:column;overflow:hidden;box-shadow:0 8px 40px rgba(0,0,0,.4)">'
    + '<div style="padding:20px 24px;border-bottom:1px solid #eee;flex-shrink:0">'
    + '<div style="font-family:Georgia,serif;font-size:18px;font-weight:700;color:#1a3a6b">GALONA</div>'
    + '<div style="font-size:14px;font-weight:600;color:#222;margin-top:4px">Nutzungsbedingungen &amp; Datenschutz</div>'
    + '<div style="font-size:12px;color:#666;margin-top:2px">Bitte lesen und bestätigen Sie die folgenden Bedingungen.</div>'
    + '</div>'
    + '<div style="flex:1;overflow-y:auto;padding:20px 24px">'
    + '<div style="margin-bottom:16px"><div style="font-size:13px;font-weight:700;color:#1a3a6b;margin-bottom:10px;padding-bottom:4px;border-bottom:2px solid #1a3a6b">Allgemeine Geschäftsbedingungen</div>'
    + agbHtml
    + '<div style="margin-top:8px"><a href="https://www.galona.eu/agb/" target="_blank" style="font-size:11px;color:#1a3a6b">↗ Vollständige AGB auf galona.eu</a></div></div>'
    + '<div><div style="font-size:13px;font-weight:700;color:#1a3a6b;margin-bottom:10px;padding-bottom:4px;border-bottom:2px solid #1a3a6b">Datenschutzerklärung (DSGVO)</div>'
    + dsgvoHtml
    + '<div style="margin-top:8px"><a href="https://www.galona.eu/datenschutzerklaerung/" target="_blank" style="font-size:11px;color:#1a3a6b">↗ Vollständige Datenschutzerklärung auf galona.eu</a></div></div>'
    + '</div>'
    + '<div style="padding:16px 24px;border-top:1px solid #eee;flex-shrink:0">'
    + '<label style="display:flex;align-items:flex-start;gap:10px;margin-bottom:10px;cursor:pointer">'
    + '<input type="checkbox" id="cbAgb" style="width:18px;height:18px;margin-top:1px;flex-shrink:0">'
    + '<span style="font-size:12px;color:#222">Ich habe die <strong>Allgemeinen Geschäftsbedingungen</strong> gelesen und akzeptiere sie.</span></label>'
    + '<label style="display:flex;align-items:flex-start;gap:10px;margin-bottom:16px;cursor:pointer">'
    + '<input type="checkbox" id="cbDsgvo" style="width:18px;height:18px;margin-top:1px;flex-shrink:0">'
    + '<span style="font-size:12px;color:#222">Ich habe die <strong>Datenschutzerklärung</strong> gelesen und willige in die Datenverarbeitung gemäß Art. 6 &amp; Art. 22 DSGVO ein.</span></label>'
    + '<div id="zustimmungFehler" style="color:#c5221f;font-size:12px;margin-bottom:8px;display:none">Bitte beide Felder bestätigen.</div>'
    + '<button onclick="speichereZustimmung(\''+api+'\',\''+token+'\')" style="width:100%;padding:12px;background:#1a3a6b;color:#fff;border:none;border-radius:8px;font-size:14px;font-weight:600;cursor:pointer">✓ Akzeptieren &amp; Portal öffnen</button>'
    + '</div>'
    + '© 2024–2026 Galona Global Services LLC · All rights reserved'
    + '</div>';

  document.body.appendChild(ol);
}

function speichereZustimmung(api, token) {
  var agb   = document.getElementById('cbAgb').checked;
  var dsgvo = document.getElementById('cbDsgvo').checked;
  var err   = document.getElementById('zustimmungFehler');
  if (!agb || !dsgvo) { err.style.display = 'block'; return; }
  err.style.display = 'none';
  fetch(api + '/zustimmung', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json', 'Authorization': token },
    body: JSON.stringify({ agb: true, dsgvo: true })
  }).then(function(r){ return r.json(); }).then(function(r){
    if (r.ok) {
      var ol = document.getElementById('zustimmungOverlay');
      if (ol) ol.remove();
      if (_zustimmungCallback) _zustimmungCallback();
    } else {
      document.getElementById('zustimmungFehler').textContent = r.fehler || 'Fehler';
      document.getElementById('zustimmungFehler').style.display = 'block';
    }
  }).catch(function(e){
    document.getElementById('zustimmungFehler').textContent = 'Verbindungsfehler';
    document.getElementById('zustimmungFehler').style.display = 'block';
  });
}

function pruefeZustimmung(api, token, callback) {
  if (!token) { callback(); return; }
  fetch(api + '/zustimmung', { headers: { 'Authorization': token } })
    .then(function(r){
      if (r.status === 401) { callback(); return null; }
      return r.json();
    })
    .then(function(r){
      if (!r) return;
      if (r.ok && !r.zustimmung_erforderlich) {
        callback();
      } else {
        zeigeZustimmungDialog(api, token, callback);
      }
    }).catch(function(){ callback(); });
}

</script>

<!-- FIX-864: Globale Komponenten — PDF-Viewer + File-Browser fuer alle Portale -->
<script src="/js/pdf-viewer.js"></script>
<script src="/js/file-browser.js"></script>
<script>
window.AUTH_CORE_CONFIG = {
  tokenKey: 'mp_tok',
  loginScreenId: 'loginScreen',
  loginErrorId: 'loginMsg',
  appScreenId: 'hauptScreen',
  loginFormInputs: {user: 'liEmail', password: 'liPw'},
  onLoginErfolg: function(token, payload) {
    var p = payload || (window.authCore && window.authCore.decodeJWT()) || {};
    var erlaubteTypen = ['mandant_user','mandant_admin'];
    if (erlaubteTypen.indexOf(p.typ) < 0) {
      if (window.authCore) window.authCore.logout();
      var ls = document.getElementById('ls');
      var err = document.getElementById('loginFehler');
      if (ls) ls.style.display = 'flex';
      if (err) { err.textContent = 'Dieses Portal ist nur für Mandanten zugänglich.'; err.style.display = 'block'; }
      return;
    }
    if (typeof window._mandantNr !== "undefined") {
      window._mandantNr = p.mandant_nr || p.mandantNr;
    }
    var name = p.mandant_name || p.email || p.user || (p.mandant_nr || "—");
    if (typeof window.startHaupt === "function") window.startHaupt(name);
  },
  onLogout: function() { location.reload(); }
};
window.AUTH_MENU_CONFIG = {
  topbarSelector: '.hdr',
  alteAbmeldenSelector: '#btnLogout'
};
</script>
<script src="/js/12_auth_core.js"></script>
<script src="/js/12_auth_menu.js"></script>
</body>
</html>