docs: todo.md von backend/ nach docs/ verschoben

todo.md gehört thematisch zur Doku, nicht zum Backend-Code.
Interne Pfade (TESTING.md, SECURITY-*.md) auf relative ./-Pfade angepasst.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

docs/todo.md

@@ -5,7 +5,7 @@
 ## 🔜 Offen
 
 ### Manuelle Tests (vor Release durchklicken)
-Checklisten für Security + Email-Log-System stehen in **[docs/TESTING.md](../docs/TESTING.md)**.
+Checklisten für Security + Email-Log-System stehen in **[TESTING.md](./TESTING.md)**.
 Einmal komplett durchlaufen vor v1.0.0-Release.
 
 ### 🚀 SaaS-Ausbau: Instance-per-Customer + Admin-Portal + GoCardless
@@ -118,9 +118,9 @@ isolierte Instanz (keine Multi-Tenancy im Code), Provisioning + Abrechnung
 
 - [x] **🛡️ Security-Hardening vor Production-Deployment (8 Runden)**
   - Vollständige Story inkl. aller Live-Test-Tabellen + Trade-offs:
-    **[docs/SECURITY-HARDENING.md](../docs/SECURITY-HARDENING.md)**
+    **[SECURITY-HARDENING.md](./SECURITY-HARDENING.md)**
   - Erste 2 Runden zusätzlich ausführlich in
-    [docs/SECURITY-REVIEW.md](../docs/SECURITY-REVIEW.md)
+    [SECURITY-REVIEW.md](./SECURITY-REVIEW.md)
   - Highlights:
     - Runde 1–3: CORS, Helmet, JWT-Fallback, IDOR-Welle 1, XSS, Mass
       Assignment, Zip-Slip, Path-Traversal, JWT-Algorithm, Rate-Limiter