feat: Vorschlaege buchen und Telefon-Dateien nur ablegen

Zwei Luecken geschlossen:

Mail-Vorschlaege standen als "pending" im Eingang, aber es gab keinen Knopf
zum Buchen – der Weg war hinten offen. Jetzt je Eintrag "Buchen" und ein
"Alle buchen". Unklare bleiben liegen: Bei ihnen fehlt etwas oder die
Erkennung war unsicher, die soll man ansehen statt im Stapel durchzuwinken.

Der Auszug vom Telefon bucht nicht mehr sofort, sondern wird nur abgelegt.
Am Telefon prueft man keine 500 Zeilen; die Datei wartet in der
Import-Ansicht und laeuft dort durch die normale Vorschau mit
Saldo-Abgleich, Zeilenfilter und Duplikatpruefung.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/routers/imports.py

@@ -7,7 +7,9 @@ from sqlalchemy.orm import Session
 
 from ..database import get_db
 from ..deps import get_current_user, get_owned
-from ..models import Account, AmountMode, ImportBatch, ImportStatus, ImportTemplate, User
+from fastapi.responses import Response
+
+from ..models import PendingUpload, Account, AmountMode, ImportBatch, ImportStatus, ImportTemplate, User
 from ..schemas import (
     ImportBatchOut,
     ImportCommitIn,
@@ -179,3 +181,39 @@ def remove_batch_record(
         )
     db.delete(batch)
     db.commit()
+
+
+# --- Vom Telefon abgelieferte Dateien ---------------------------------------
+
+
+@router.get("/uploads")
+def list_uploads(db: Session = Depends(get_db), user: User = Depends(get_current_user)) -> list[dict]:
+    """Wartende Dateien. Der Inhalt bleibt hier draussen – nur die Eckdaten."""
+    zeilen = (
+        db.query(PendingUpload)
+        .filter(PendingUpload.owner_id == user.id)
+        .order_by(PendingUpload.created_at.desc(), PendingUpload.id.desc())
+        .all()
+    )
+    return [
+        {"id": u.id, "filename": u.filename, "account_id": u.account_id,
+         "size_bytes": u.size_bytes, "created_at": u.created_at.isoformat() if u.created_at else None}
+        for u in zeilen
+    ]
+
+
+@router.get("/uploads/{upload_id}/content")
+def upload_content(upload_id: int, db: Session = Depends(get_db), user: User = Depends(get_current_user)):
+    """Die Datei selbst – damit die Import-Ansicht sie wie eine lokale behandelt."""
+    upload = get_owned(db, PendingUpload, upload_id, user)
+    return Response(
+        content=upload.content,
+        media_type="text/csv",
+        headers={"Content-Disposition": f'attachment; filename="{upload.filename}"'},
+    )
+
+
+@router.delete("/uploads/{upload_id}", status_code=status.HTTP_204_NO_CONTENT)
+def delete_upload(upload_id: int, db: Session = Depends(get_db), user: User = Depends(get_current_user)):
+    db.delete(get_owned(db, PendingUpload, upload_id, user))
+    db.commit()