TP2 Abschlussprüfung: Löschung (IP/Browser auf portalFeatures, Erstattungsspur, K22-Datum)

- markOrdered speichert IP und Browser der Bestellung nicht mehr am Funktionsdokument (nur im Nachweis featureConsents, dort mit
  Löschfrist); Altwerte werden bei einer neuen Bestellung geleert
- Aufbewahrungslauf (retention): consentIp, consentUserAgent, consentText, consentAt werden an allen Funktionsdokumenten eines fälligen
  Kunden geleert, auch an abgeschalteten; Fehlschlag hält den Kunden wie die übrigen abhängigen Daten
- Einmal-Skript scripts/feature-consent-felder-leeren.mjs (Standard Probelauf, --apply leert nur, wo featureConsents die Angabe trägt)
- 30-Tage-Reset (jobs.js): auch eine bezahlte Einrichtung mit Grund abo_ende_vor_einrichtung und noch nicht gemeldetem T19 wird nicht
  zurückgesetzt, solange zahlungMeldung nicht gemeldet ist (die Spur der Erstattung bleibt)
- K22: enddatum ist das Abo-Ende (lage.endedAt), sonst der Tag des Abschaltens; loeschdatum bleibt 30 Tage nach dem Abschalten

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

test/siteFeatures.test.js

@@ -30,11 +30,26 @@ test('ohne_dokument_ist_off', async () => {
   assert.equal(list.find((p) => p.projectId === 'p1').liveUrl, 'https://baeckerei.de')
 })
 
+test('C1: eine neue Bestellung leert IP und Browser aus einer frueheren Bestellung desselben Dokuments', async () => {
+  const first = await sf.markOrdered({ customerId: 'c2', projectId: 'p3', key: 'news', sessionId: 'cs_c1_a', consent })
+  // Altbestand: eine frueher gespeicherte IP am Dokument (vor dieser Aenderung wurde sie geschrieben)
+  const { updateDocument } = await import('../server/services/appwriteAdmin.js')
+  await updateDocument('portalFeatures', first.$id, { consentIp: '9.9.9.9', consentUserAgent: 'alt', state: 'off', enabled: false })
+  const again = await sf.markOrdered({ customerId: 'c2', projectId: 'p3', key: 'news', sessionId: 'cs_c1_b', consent })
+  assert.deepEqual([again.consentIp, again.consentUserAgent], ['', ''])
+  assert.equal(aw.docs('portalFeatures').get(first.$id).consentIp, '')
+  aw.docs('portalFeatures').delete(first.$id) // die uebrigen Faelle dieser Datei zaehlen Dokumente
+})
+
 test('bezahlt_legt_ticket_an', async () => {
   const ordered = await sf.markOrdered({ customerId: 'c1', projectId: 'p1', key: 'news', sessionId: 'cs_1', consent })
   assert.equal(ordered.state, 'ordered')
   assert.equal(ordered.enabled, false)
-  assert.equal(ordered.consentIp, '1.2.3.4')
+  // C1: IP und Browser der Bestellung stehen nur im Nachweis (featureConsents), nie am Funktionsdokument, auch wenn der Aufrufer sie mitgibt
+  assert.equal(ordered.consentIp, '')
+  assert.equal(ordered.consentUserAgent, '')
+  assert.equal(ordered.consentText, 'Ich stimme zu')
+  assert.equal(ordered.consentAt, '2026-09-30T10:00:00.000Z')
   assert.match(ordered.siteKey, /^[a-z2-7]{16}$/)
   const { doc, created } = await sf.markPaid({ sessionId: 'cs_1', invoiceId: 'in_1', invoiceUrl: 'https://x/inv' })
   assert.equal(created, true)