recht: Meldeverfahren v2 Phasen 5+7 — DSGVO-Strukturformular, 10-€-Checkout mit KI-Vorprüfung, Triage & Panel-Modal

Phase 7 (Spur D, E2 revidiert): KI-Vorprüfung VOR der Zahlung im Modal —
rot lehnt ohne Zahlung ab, gelb/grün führt zum Stripe-Checkout
(SinglePurchaseType::Change, 10 € netto), nach Zahlungseingang übernimmt
der Webhook die geprüfte Fassung sofort (applyPaid: Snapshot, Sperre,
Verlauf). Nur einmal je PM; Obergrenze legal.change_max_distance_percent
(50 %) verhindert die verdeckte Selbst-Depublizierung.

Phase 5 (Spur B): strukturiertes Schwärzungsformular mit Pflicht-Vorschau
im verifizierten Web-Bereich UND als Modal im Kunden-Panel; Admin-Editor
wird aus payload.redaction vorbefüllt. Umsetzungsmail LegalRequestExecuted
an Antragsteller, Bestätigungsmail PressReleaseChangeApplied (Spur A/D,
neuer abbestellbarer Typ press_release_corrected).

Außerdem:
- Re-Sync-Sperre + Sitemap-Invalidierung fest in depublish() verankert
  (Lücke im bezahlten Webhook-Pfad geschlossen)
- Öffentliche „Rechtliches"-Seite als zweistufige Triage: primär der
  Portal-Anmeldelink, Formular nur Fallback mit Identifizierungs-Hinweis;
  Store auf report/dsgvo/personal_rights gehärtet
- Panel-Button „Ändern/Melden" öffnet Anliegen-Modal (4 Spuren) statt
  des Web-Formulars
- Pressekontakt-Fallback für Legacy-Bestände (30k PMs ohne Verknüpfung):
  Detailseite + pressContactEmail() nutzen PM-Kontakt → Firmen-Kontakt →
  Firmendaten
- Korrektur-Gate entity-fest (Editor-Normalisierung zählt nicht als
  Änderung), toEditorHtml() in Admin-Edit + Korrektur-Panel,
  Wochenlimit-Hinweis in Text und Bremsen-Meldung

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

app/Http/Controllers/LegalRequestController.php

@@ -31,10 +31,24 @@ class LegalRequestController extends Controller
 
         $type = LegalRequestType::tryFrom((string) $request->query('type')) ?? LegalRequestType::Report;
 
+        // Zweistufige Triage (Meldeverfahren v2): Absender-Anliegen
+        // (Korrektur/Änderung/Depublizierung) laufen über den Magic-Link-Weg,
+        // nicht über dieses Formular.
+        $initialConcern = match ($type) {
+            LegalRequestType::Dsgvo => 'dsgvo',
+            LegalRequestType::PersonalRights => 'personal_rights',
+            LegalRequestType::Correction, LegalRequestType::Depublication, LegalRequestType::Change => 'owner',
+            default => 'report',
+        };
+
         return view('web.legal-request', [
             'release' => $release,
-            'type' => $type,
-            'types' => LegalRequestType::cases(),
+            'initialConcern' => $initialConcern,
+            // Passwortloser Portal-Login (Entscheidung 23.07.): Der Anmeldelink
+            // führt Pressekontakte direkt ins pressekonto — dort werden ihre
+            // PMs im Konto zusammengeführt und alle Selbstservice-Funktionen
+            // (Korrektur, Änderung, Depublizierung, Datenschutz) stehen bereit.
+            'portalMagicLinkUrl' => rtrim(config('domains.domain_portal_url', config('app.url')), '/').'/anmeldelink',
         ]);
     }
 
@@ -50,7 +64,14 @@ class LegalRequestController extends Controller
         }
 
         $validated = $request->validate([
-            'type' => ['required', Rule::enum(LegalRequestType::class)],
+            // Bewusst NICHT das volle Enum: Absender-Spuren (Korrektur,
+            // Änderung, Depublizierung) haben eigene verifizierte Flows und
+            // dürfen hier nicht als anonyme Queue-Anfrage einlaufen.
+            'type' => ['required', Rule::in([
+                LegalRequestType::Report->value,
+                LegalRequestType::Dsgvo->value,
+                LegalRequestType::PersonalRights->value,
+            ])],
             // E-Mail für DSGVO/Persönlichkeitsrecht nötig (Rückmeldung); bei
             // einer Meldung optional.
             'requester_email' => [