PdfDragButton: PDF per Drag-and-Drop aus Bankkarte/Ausweis ziehen

Neue wiederverwendbare Komponente PdfDragButton: ziehbares Element,
mit dem der hinterlegte Scan direkt aus dem Browser in ein Mail-Fenster
(Anhang) oder den Datei-Explorer gezogen werden kann (Chromium-
DownloadURL, Format <mime>:<name>:<absolute-url>).

Bewusste Plattform-Grenze: PDF per Strg+V als Datei einfuegen geht im
Browser nicht (Web-Clipboard darf keine OS-Datei-Zwischenablage
befuellen) -> Drag-and-Drop. DownloadURL nur Chrome/Edge, nicht
Firefox (dort Klick-Fallback: Datei im Tab oeffnen).

Eingebaut an: ContractForm (neben IBAN/Ausweisnummer-Copy), Vertrags-
ansicht (Bankkarte/Ausweis-Card), Kundenakte-Tabs Bankkarten+Ausweise.
Nur bei vorhandenem documentPath. Nutzt bestehende fileUrl()-Download-
URL (Token als Query, Per-File-Ownership-Check unveraendert) - kein
neuer Endpoint, keine neue Angriffsflaeche.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

docs/todo.md

@@ -97,6 +97,24 @@ isolierte Instanz (keine Multi-Tenancy im Code), Provisioning + Abrechnung
 
 ## ✅ Erledigt
 
+- [x] **🖱️ PDF-Drag-and-Drop aus Bankkarte/Ausweis heraus** (2026-07-30)
+  - Neues wiederverwendbares `PdfDragButton`: ziehbares „📄 PDF ziehen"-
+    Element, mit dem der hinterlegte Scan direkt aus dem Browser in ein
+    Mail-Fenster (Anhang) oder den Datei-Explorer gezogen werden kann
+    (Chromium-`DownloadURL`, Format `<mime>:<name>:<absolute-url>`).
+  - **Technik-Grenze bewusst:** „PDF per Strg+V als DATEI einfügen" geht im
+    Browser NICHT (Web-Clipboard darf keine OS-Datei-Zwischenablage/CF_HDROP
+    befüllen) → Drag-and-Drop statt Clipboard. `DownloadURL` nur Chrome/Edge,
+    nicht Firefox (dort Klick-Fallback: Datei im Tab öffnen).
+  - Eingebaut an: Vertrag-Neu/Bearbeiten (`ContractForm`, neben IBAN-/
+    Ausweisnummer-Copy-Button), Vertragsansicht (`ContractDetail`, Bankkarte-
+    + Ausweis-Card), Kundenakte-Tabs Bankkarten + Ausweise (`CustomerDetail`,
+    neben Anzeigen/Download). Erscheint nur bei vorhandenem `documentPath`.
+  - Nutzt bestehende `fileUrl()`-Download-URL (Token als Query, Per-File-
+    Ownership-Check unverändert) – kein neuer Endpoint, keine neue Angriffs-
+    fläche. Ausweitung auf weitere PDF-Stellen (Rechnungen, Vertragsdoks,
+    Datenschutz) folgt bei Bedarf über dieselbe Komponente.
+
 - [x] **📋 Vertragsformular: Copy-Buttons für Bankkarte (IBAN) + Ausweis** (2026-07-30)
   - In „Kundendaten verknüpfen" je ein Kopieren-Button neben dem Label,
     kopiert nur den reinen Wert der aktuell gewählten Option: bei Bankkarte