Feature: QR-Kontingente für Partner — Bestellung, Übergabe, Rückverfolgung

Partner verteilen gedruckte QR-Codes (Sticker/Flyer); jeder physische Code
ist einzeln rückverfolgbar von Scan bis Registrierung.

Backend:
- partner_qr_batches + partner_qr_codes (Token 8-stellig, ohne 0/O/1/l/I),
  users.referred_qr, partner_codes.owner_user_id (+Backfill über referred_by)
- /q/{token}: Scan zählen (scans, first/last_scan_at) → Redirect
  /?ref=CODE&qr=TOKEN — dockt am bestehenden Referral-Flow an
- Registrierung: qr_token wird nur zugeordnet, wenn er zum eingelösten
  Partner-Code gehört (Manipulationsschutz)
- Admin: Kontingent bestellen (max 500), Liste mit Scans/Registrierungen,
  Löschen (Zweiklick), druckfertiges A4-PDF (segno+fpdf2, 3×4 Grid mit
  Kurz-URL + laufender Nummer), Code-Besitzer zuordnen
- Partner-Self-Service: /partner/my-qr (+PDF) für Code-Besitzer

Frontend:
- Admin-Partner-Tab: Karte 'QR-Kontingente' (Bestellung, Stats, PDF, Besitzer)
- Partner-Profil: 'Meine QR-Codes' mit Scans/Registrierungen + PDF-Download
- boot.js/app.js speichern ?qr=, Registrierung schickt qr_token mit

Neu: segno==1.6.6 (pure-python QR). Tests: 5 neue (PDF, Scan-Zählung,
Attribution, Fremd-Token-Schutz, Self-Service). Suite: 51 passed.

backend/static/js/pages/settings.js

@@ -2613,8 +2613,11 @@ window.Page_settings = (() => {
         const partnerCode = (fd.partner_code || '').trim().toUpperCase() || undefined;
         const refCode     = _storedRefCode();
         const finalCode   = partnerCode || refCode || undefined;
-        const result = await API.auth.register(fd.email, fd.password, fd.name.trim(), finalCode);
+        // QR-Token mitschicken — Backend ordnet ihn nur zu, wenn er zum Code passt
+        const qrToken     = (() => { try { return localStorage.getItem('by_qr_token') || undefined; } catch { return undefined; } })();
+        const result = await API.auth.register(fd.email, fd.password, fd.name.trim(), finalCode, qrToken);
         if (refCode) _clearRefCode();
+        try { localStorage.removeItem('by_qr_token'); } catch {}
 
         if (result.pending_verification) {
           _renderVerifyPending(fd.email);