feat(dokumente): DOC-005 Zugriffsrechte je Dokumenttyp (Rechnungen eingeschränkt)

Rechnungen sind finanziell sensibel - nur Materialverantwortliche/
Leitungsverantwortliche/Administration dürfen sie in der Liste sehen und
herunterladen (403 bei direktem Downloadversuch), Mitarbeiter nicht.
Hochladen bleibt für alle offen (z.B. Wareneingang direkt scannen). Andere
Dokumenttypen bleiben unverändert für jeden mit Aktenzugriff sichtbar - die
werden im Feldeinsatz gebraucht. EINGESCHRAENKTE_DOKUMENTTYPEN als zentrale
Stelle für künftige weitere Einschränkungen.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01CVgbozhYmuEhiEJHffRXCV

backend/app/models/dokument.py

@@ -24,6 +24,14 @@ class DokumentTyp(str, enum.Enum):
 
 dokument_typ_pg = PgEnum(DokumentTyp, name="dokument_typ", create_type=False)
 
+# DOC-005: Rechnungen sind finanziell sensibel - nur Materialverantwortliche/
+# Leitungsverantwortliche/Administration dürfen sie sehen/herunterladen,
+# Mitarbeiter nicht (dürfen sie aber weiterhin hochladen, z.B. direkt beim
+# Wareneingang scannen). Andere Dokumenttypen (Prüfprotokolle, Anleitungen,
+# ...) bleiben für alle mit Zugriff auf die Akte sichtbar - die werden im
+# Feld gebraucht.
+EINGESCHRAENKTE_DOKUMENTTYPEN = {DokumentTyp.rechnung}
+
 
 class Dokument(Base):
     """Roadmap Phase 5 (Modul Dokumente): polymorpher Datei-Anhang an beliebige