commit 536ff43ce4a245500446a427bedfb51be2a1b785
Author: Kristof <ict@kamerksem.be>
Date:   Wed Oct 14 12:29:29 2026 +0200

    Initial commit

diff --git a/.dockerignore b/.dockerignore
new file mode 100644
index 0000000..61e71c8
--- /dev/null
+++ b/.dockerignore
@@ -0,0 +1,38 @@
+# Include any files or directories that you don't want to be copied to your
+# container here (e.g., local build artifacts, temporary files, etc.).
+#
+# For more help, visit the .dockerignore file reference guide at
+# https://docs.docker.com/go/build-context-dockerignore/
+
+**/.DS_Store
+**/__pycache__
+**/.venv
+**/.classpath
+**/.dockerignore
+**/.env
+**/.git
+**/.gitignore
+**/.project
+**/.settings
+**/.toolstarget
+**/.vs
+**/.vscode
+**/*.*proj.user
+**/*.dbmdl
+**/*.jfm
+**/bin
+**/charts
+**/docker-compose*
+**/compose.y*ml
+**/Dockerfile*
+**/node_modules
+**/npm-debug.log
+**/obj
+**/secrets.dev.yaml
+**/values.dev.yaml
+LICENSE
+README.md
+geheimen
+import
+config.ini
+**/*api_key*.json
diff --git a/DATABASE.md b/DATABASE.md
new file mode 100644
index 0000000..a773242
--- /dev/null
+++ b/DATABASE.md
@@ -0,0 +1,199 @@
+# PIVOT-database (structuur 2026-27)
+
+De database volgt `pivot_database_structuur_26-27` en is verdeeld zoals PIVOT 1.1.0 met meerdere scholen werkt:
+
+| Database | Inhoud |
+|---|---|
+| **centraal** (`pivot`, zie `config.ini › centrale_database`) | `Scholen`, `Gebruikers`, `Veiligheidsgroepen`, `Onderdelen`, `Gebruiker_rechten`, `Leerlingenaantal_tellingen`, `Personeelsaantal_tellingen`, `Personeelsaantal_huidig`, `IP_blokkades`, `PIVOT_instellingen`, `Koppeling_tests`, `Handleidingen`, `Handleidingen_versies`, `Logs`, `Bugs`, `Status` |
+| **één per school** (bv. `pivot_sg_antwerpen`) | `Campus`, `Lokalen`, `Wifi`, `Toestellen`, `Signpost_DB`, `Opmerkingen`, `Signpost_herstellingen_DB`, `Leerlingen`, `Eigendom`, `Co_accounts`, `CO2_Metingen`, `Schooljaar` + de tabellen van de modules (2FA, afwezigheden, personeel, licenties, mailbox-delegatie) |
+
+## Installeren
+
+```
+mysql -u <gebruiker> -p < sql/installatie_pivot_26-27.sql
+```
+
+Daarmee heb je:
+
+- de centrale database `pivot`
+- de school **Scholengroep Antwerpen** (code `sg-antwerpen`) met database `pivot_sg_antwerpen`
+- de gebruiker **Marijn**, wachtwoord `Binnenin10`, rol **Administrator**
+
+Je kan het script ook in MySQL Workbench of phpMyAdmin importeren. Het mag meermaals uitgevoerd worden.
+
+**Andere naam voor de centrale database** (bv. `pivot_test`)? Pas dan de naam aan op **beide** regels
+(`CREATE DATABASE` én `USE`) onder *1. Centrale database*, en zet dezelfde naam in `config.ini › centrale_database`.
+
+**Gebruik een nieuwe, lege database.** Staan er nog tabellen van de vorige versie in (bv. `scholen` of
+`gebruikers`), dan stopt het script met de melding *"STOP: deze database bevat nog oude PIVOT-tabellen"*,
+en PIVOT start niet met die database. MySQL op Windows maakt geen onderscheid tussen `Scholen` en `scholen`,
+dus anders zou de nieuwe tabel stilletjes niet aangemaakt worden.
+Log daarna in, kies *Scholengroep Antwerpen* en vul via **🏫 Alle scholen beheren › Bewerken** het e-maildomein,
+Smartschool, Informat, Google, ... in.
+
+Losse bestanden:
+
+- `sql/centraal.sql`: enkel de centrale tabellen
+- `sql/school.sql`: de tabellen van één school (uit te voeren in een lege database)
+
+## Een database voor een nieuwe school
+
+Kies één van deze manieren:
+
+1. **In PIVOT**: 🏫 Alle scholen beheren › Nieuwe school › *Database aanmaken?* › **Ja, nieuwe lege PIVOT-database**.
+   Vergeten? Open de school via *Bewerken*: onder *Database* staat dan **🗄️ Database nu aanmaken**.
+2. **Opdrachtregel**: `python beheer.py nieuwe-schooldatabase pivot_<school>`
+3. **Met de hand**: `CREATE DATABASE pivot_<school>;` en daarna `sql/school.sql` in die database uitvoeren.
+
+De MySQL-gebruiker uit `config.ini` moet daarvoor databases mogen aanmaken.
+
+## Een kopie van een school
+
+🏫 Alle scholen beheren › Nieuwe school › *Database aanmaken?* › **Ja, kopie van … (met gegevens)**.
+PIVOT kopieert alle tabellen mét gegevens naar een **nieuwe** database (bestaat ze al en bevat ze tabellen, dan stopt het).
+Vink aan wat je nog wil overnemen:
+
+- **Koppelingen en instellingen** (Smartschool, Informat, Google-sleutel, …): na het aanmaken kom je op *Bewerken* om ze na te kijken.
+- **Gebruikersrechten**: wie rechten heeft in de bronschool, krijgt dezelfde rechten in de kopie.
+
+Een testkopie zet je best op *niet actief*: dan lopen er geen geplande synchronisaties (afwezigheden, Skore, 2FA) voor.
+Op de opdrachtregel: `python beheer.py kopieer-school BRONCODE pivot_<kopie>` (enkel de database).
+
+## Rechten
+
+Iedereen heeft **één account** voor alle scholen (tabel `Gebruikers`). Per school vink je aan op welke **onderdelen**
+iemand rechten heeft (tabel `Gebruiker_rechten`: gebruiker × school × onderdeel).
+Zo kan iemand in school A *2FA tijdelijk uitzetten* en in school B niet.
+
+- **Administrator** (Veiligheidsgroep 1): alle rechten in alle scholen. Beheert gebruikers, rechten en scholen.
+- **Gebruiker** (Veiligheidsgroep 2): enkel wat per school aangevinkt is. Zonder vinkje in een school kan hij er niet inloggen.
+- Wie in een school het recht **Gebruikers & rechten** heeft, kan in díe school gebruikers aanmaken en hun rechten instellen.
+  Administrators wijzigen kan hij niet.
+- Leerkrachten zonder account die met Google inloggen, krijgen zoals vroeger enkel de personeelsmodule.
+
+Een wijziging in de rechten geldt meteen, ook als de gebruiker al ingelogd is.
+Wie in meerdere scholen rechten heeft, wisselt bovenaan van school.
+
+Beheren kan in PIVOT via **⚙️ Beheer › 🔐 Gebruikers & rechten**, of op de opdrachtregel:
+
+```
+python beheer.py gebruiker jan --email jan@school.be          # nieuwe gebruiker (vraagt wachtwoord)
+python beheer.py gebruiker marijn --admin                      # administrator maken
+python beheer.py rechten jan sg-antwerpen tweestaps_uitzetten co2
+python beheer.py rechten jan sg-antwerpen                      # rechten tonen
+python beheer.py rechten jan sg-antwerpen alles | geen
+```
+
+| Onderdeel (code) | Wat |
+|---|---|
+| `eigendom_bekijken` | Eigendom bekijken |
+| `toestellen_uitdelen` | Toestellen uitdelen en inleveren |
+| `toestellen_beheren` | Toestelleninventaris beheren |
+| `toestel_blokkeren` | Chromebook blokkeren / deblokkeren |
+| `herstellingen` | Herstellingen |
+| `signpost` | Signpost-toestellen |
+| `leerlingen_bekijken` | Leerlingen bekijken en bewerken |
+| `leerlingen_synchroniseren` | Leerlingen toevoegen en synchroniseren (Informat, Google) |
+| `google_wachtwoord` | Google-wachtwoord resetten |
+| `google_accounts` | Google-accounts aanmaken |
+| `tweestaps_codes` | 2FA: back-upcodes tonen / aanmaken |
+| `tweestaps_uitzetten` | 2FA tijdelijk uitzetten (uitzondering) |
+| `google_licenties` | Google-licenties |
+| `gmail_delegatie` | Mailbox-delegatie |
+| `verzendlijsten` | Verzendlijsten (Google Groepen) bekijken, aanmaken en aanpassen |
+| `smartschool` | Smartschool-wachtwoorden & info |
+| `smartschool_activiteit` | Activiteit co-accounts & berichten |
+| `afwezigheden` | Afwezigheden leerlingen (B-codes) |
+| `laatkomers` | Laatkomers (codes voor te laat uit Smartschool) |
+| `skore` | Skore-synchronisatie starten en plannen |
+| `personeel_directie` | Personeel: aanvragen goedkeuren |
+| `personeel_secretariaat` | Personeel: dagoverzicht |
+| `co2` | CO2-sensoren |
+| `qr_codes` | QR-code generator |
+| `bugs_bekijken` / `bugs_beheren` | Bugs bekijken / status wijzigen |
+| `nieuw_schooljaar` | Nieuw schooljaar (accounts & toestellen) |
+| `leerlingenaantal` | Leerlingenaantallen van alle scholen (blok *Leerlingen*) |
+| `personeelsaantal` | Personeelsaantallen van alle scholen (blok *Personeel*) |
+| `gopro` | GO! Pro: personeel van de school uit Informat, rollen en export (blok *Personeel*) |
+| `koppelingen` | Koppelingen van deze school |
+| `gebruikersbeheer` | Gebruikers & rechten van deze school |
+
+Een nieuw onderdeel voeg je toe in `rechten.py › ONDERDELEN`. Bij het opstarten komt het automatisch in de tabel `Onderdelen`.
+
+## Verschillen met de PDF
+
+Wat PIVOT extra nodig heeft, staat in `sql/school.sql` gemarkeerd met `[+]`.
+
+- **Scholen**: `Instellingsnummer` is het officiële nummer van de school; het nummer voor de Informat-koppeling
+  staat apart in `Informat_instellingsnummer` (die twee verschillen). `Onderwijsniveau` (`kleuter`, `basis` of `secundair`)
+  bepaalt de subtotalen bij de leerlingenaantallen. Scholen heeft naast de PDF-velden ook `Code`, `Hostnamen`, `Actief`, `Db_naam`, `Instellingen` (versleutelde koppelingen)
+  en `Google_sleutel`. `Domein` mag meerdere domeinen bevatten, gescheiden door komma's.
+- **Gebruikers** bevat `Passwoordhash` (werkzeug-hash, nooit het wachtwoord zelf) plus `Actief`.
+  `Veiligheidsgroep` verwijst naar de tabel `Veiligheidsgroepen`.
+- **Leerlingenaantal_tellingen** (extra): de leerlingenaantallen per school op een gekozen peildatum
+- **gmail_delegaties** / **gmail_delegaties_scan** (extra, per school): alle lopende e-mailmachtigingen (Mailbox-delegatie), opgehaald door alle mailboxen af te gaan (dagelijks of met 🔄 Vernieuwen) en meteen bijgewerkt bij wijzigingen in PIVOT
+- **internaat_aanwezigheid** (extra, per school): aanwezigheidsregister van het internaat (per intern, dag en moment ochtend/avond)
+- **gmail_label_log** / **gmail_label_items** (extra, per school): opdrachten "e-mails met een label naar een andere mailbox" en welke berichten al gekopieerd zijn (zodat een herstart ze overslaat). Vereist het Google-bereik `gmail.modify`.
+- **gmail_handtekening** / **gmail_handtekening_log** (extra, per school): Gmail › Handtekeningen: het HTML-sjabloon, het logo (publiek op `/handtekening-logo/<school>/<sleutel>`), de gekozen OU's en de schakelaar voor nachtelijk opnieuw toepassen (één rij, ID = 1), en per gebruiker wanneer de handtekening gezet werd. Functie en telefoon staan niet in PIVOT maar in Google. Vereist `gmail.settings.basic` en `admin.directory.user`.
+- **contact_lijsten** / **contact_lijst_items** (extra, per school): Gmail › Contacten › Contactlijsten: een label met vaste contacten dat PIVOT in de persoonlijke contacten van iedereen in de gekozen OU's zet (People API, scope `contacts`). PIVOT herkent zijn contacten in de mailboxen aan het eigen veld `PIVOT` = `lijst<ID>:<item-ID>#<hash>`. De zichtbaarheid in het adresboek staat enkel in Google.
+- **Leerlingen.Vertrokken_op** (extra): datum waarop de leerling bij "Informat & SS sync" niet meer actief was in Informat (NULL = actief). Vertrokken leerlingen worden niet verwijderd, enkel verborgen in de lijst.
+  (Scholengroep › Leerlingenaantallen › *Telling op peildatum*). Wordt bij het opstarten automatisch aangemaakt.
+- **Personeelsaantal_huidig** en **Personeelsaantal_tellingen** (extra): de personeelsaantallen per school, nu en op
+  een gekozen peildatum (Personeel › Personeelsaantallen). Geteld uit de Informat Personeel-API: wie op die dag een
+  lopende opdracht heeft. Worden bij het opstarten automatisch aangemaakt.
+- **GoPro_verzameltabel** (extra, centraal): de groene personeelsleden (account in Google) van alle scholen samen voor één GO! Pro-CSV; wie hierin staat, wordt op de GO! Pro-pagina van zijn school niet meer getoond (herkend aan school + personeelslid of aan het e-mailadres); met de schakelaar 🌙 op de GO! Pro-pagina (PIVOT_instellingen `gopro_nachtelijk`) gebeurt het verzamelen elke nacht tussen 2 en 6 uur voor alle scholen; kolom `Soort`: `groen` (gaat mee in de CSV), `genegeerd` (rode lijst: nooit meer tonen, niet exporteren) of `verzonden` (met ✅ Markeer als verzonden: al naar GO! Pro gestuurd, nooit opnieuw toevoegen; `Verzonden`, `Verzonden_door`)
+- **IP_blokkades** (extra): IP-adressen en reeksen die geweigerd (of altijd toegelaten) worden, voor alle scholen; bij "altijd toestaan" kunnen één of meer scholen aangeduid worden (`Scholen`, codes met komma gescheiden, ter info)
+  (Beheer › Beveiliging › IP-blokkades, enkel administrators; een gebruiker met het recht `ip_whitelist` ziet enkel de toegestane adressen van zijn school, voegt er toe voor die school en verwijdert enkel zijn eigen regels — `Gebruiker_ID`). Staat PIVOT achter een reverse proxy, zet dan
+  `config.ini › [algemeen] proxy_aantal` op het aantal proxy's (meestal 1), anders ziet PIVOT het adres van de proxy.
+  De schakelaar *Enkel "Altijd toestaan" binnenlaten* staat in **PIVOT_instellingen** (`ip_enkel_toegestaan` = 1).
+  Toch buitengesloten? Zet hem rechtstreeks in de database uit:
+  `UPDATE PIVOT_instellingen SET Waarde = '0' WHERE Sleutel = 'ip_enkel_toegestaan';` (geldt binnen 30 seconden).
+- **Handleidingen** en **Handleidingen_versies** (extra): de handleidingen onder 📘 Handleidingen op het dashboard
+  (HTML, met schermafbeeldingen) en de laatste 30 vorige versies per handleiding. PIVOT levert er twee mee
+  (2FA-uitzondering en mailbox-delegatie in Google Admin); die komen bij het opstarten in de tabel.
+  Enkel administrators kunnen ze bewerken.
+- **Logs** bevat ook `School_ID`, `Actie` en `IP`. PIVOT schrijft er elke bezochte pagina in
+  (uit te zetten met `config.ini › logboek = nee`).
+- **Bugs** bevat ook wie de bug meldde (`Gebruiker_ID`, `Gebruikersnaam`) en in welke school.
+- **Toestellen** bevat `Serienummer`, `Type`, `Status` en `Geblokkeerd` (nodig om te blokkeren in Google en voor uitdelen/inleveren).
+  `Geblokkeerd` (1 = geblokkeerd in Google Admin) wordt vanzelf toegevoegd; de knop in 💻 Alle toestellen en 🔒 bij Eigendom
+  houden hem bij, en "Chromebooks ophalen uit Google" neemt de status uit Google over.
+  `Schooleigen_ID` is het toestelnummer van de school; in de code heette dat vroeger `KAMXM_nummer`.
+- **Signpost_DB**: één rij per toestel (`Toestel_ID` = sleutel). Het veld "Aankoopberdrag" heet `Aankoopbedrag`.
+  De synchronisatie met Signpost maakt een toestel aan als het serienummer nog niet bestaat.
+- **Opmerkingen** en **Signpost_herstellingen_DB** verwijzen naar `Toestellen.Toestel_ID`. Dat is hetzelfde nummer als
+  `Signpost_DB.Toestel_ID`, maar zo werkt het ook voor toestellen die niet via Signpost gekocht zijn.
+  Herstellingen hebben ook een `Datum` en de leerling (`Leerling_ID`).
+- **Eigendom** houdt ook de geschiedenis bij: `Datum_inlevering` leeg betekent dat de leerling het toestel nu heeft.
+  De vroegere tabel `Eigendom_archief` is niet meer nodig.
+- **Co-accounts** heet `Co_accounts` en "Laatste aanmelding" heet `Laatste_aanmelding` (geen streepjes of spaties in namen).
+- **Campus.School_ID** verwijst naar `Scholen.School_ID` in de centrale database. Een harde foreign key kan niet,
+  want een schooldatabase kan op een andere server staan.
+- **Lokalen.Campus_ID** mag leeg zijn: een CO2-sensor met een nieuwe lokaalnaam maakt automatisch een lokaal aan.
+  Koppel het daarna aan een campus.
+- **Wifi** kreeg een optionele `Campus_ID`.
+- **Schooljaar** (`2026` → `2026-27`) is een extra tabel voor `Leerlingen.Schooljaar_ID`.
+- **smartschool_coaccounts** (extra, per school): alle co-accounts uit Smartschool met klas, leerling en laatste
+  aanmelding (Smartschool › Co-accounts). Wordt automatisch aangemaakt en één keer per dag opnieuw opgehaald.
+- **gopro_keuzes** (extra, per school): de GO! Pro-functie en -rol per personeelslid (`Person_ID` uit Informat).
+  Wordt automatisch aangemaakt; zonder keuze is het *Leerkracht* (een directeur: *Directeur*).
+
+## Windows → Linux: tabelnamen met hoofdletters
+
+MySQL op Windows bewaart tabelnamen in kleine letters (`lower_case_table_names = 1`); op Linux (`= 0`) zijn
+`toestellen` en `Toestellen` verschillende tabellen. Bij het opstarten (en bij **Testen** van een school) herstelt
+PIVOT dit automatisch voor de centrale database en alle schooldatabases (`services/tabelnamen.py`), enkel op een
+server met `lower_case_table_names = 0` en enkel voor de tabellen die PIVOT kent:
+
+- alleen `toestellen` bestaat → hernoemd naar `Toestellen`;
+- beide bestaan en `Toestellen` is leeg → de lege tabel weg, `toestellen` hernoemd;
+- beide bevatten gegevens → niets gewijzigd, melding in het serverlogboek (zelf samenvoegen).
+
+Wat er gebeurde, staat in het serverlogboek (regels die beginnen met `PIVOT tabelnamen:`).
+
+## Aantal verbindingen ("Too many connections")
+
+PIVOT houdt per database (centraal + elke school) een pool van verbindingen open: `config.ini › [database] ›
+pool_size` (standaard 3). In totaal dus ongeveer (aantal scholen + 1) × pool_size per draaiend PIVOT-proces. Dat moet
+onder `max_connections` van MySQL blijven (standaard 151). Krijg je "1040 Too many connections", verhoog dan
+`max_connections` in `my.ini` / `my.cnf` (bv. `max_connections = 500`) of verlaag `pool_size`.
diff --git a/Dockerfile b/Dockerfile
new file mode 100644
index 0000000..e8abc08
--- /dev/null
+++ b/Dockerfile
@@ -0,0 +1,51 @@
+# syntax=docker/dockerfile:1
+
+# Comments are provided throughout this file to help you get started.
+# If you need more help, visit the Dockerfile reference guide at
+# https://docs.docker.com/go/dockerfile-reference/
+
+# Want to help us make this template better? Share your feedback here: https://forms.gle/ybq9Krt8jtBL3iCk7
+
+ARG PYTHON_VERSION=3.12.2
+FROM python:${PYTHON_VERSION}-slim as base
+
+# Prevents Python from writing pyc files.
+ENV PYTHONDONTWRITEBYTECODE=1
+
+# Keeps Python from buffering stdout and stderr to avoid situations where
+# the application crashes without emitting any logs due to buffering.
+ENV PYTHONUNBUFFERED=1
+
+WORKDIR /app
+
+# Create a non-privileged user that the app will run under.
+# See https://docs.docker.com/go/dockerfile-user-best-practices/
+ARG UID=10001
+RUN adduser \
+    --disabled-password \
+    --gecos "" \
+    --home "/nonexistent" \
+    --shell "/sbin/nologin" \
+    --no-create-home \
+    --uid "${UID}" \
+    appuser
+
+# Download dependencies as a separate step to take advantage of Docker's caching.
+# Leverage a cache mount to /root/.cache/pip to speed up subsequent builds.
+# Leverage a bind mount to requirements.txt to avoid having to copy them into
+# into this layer.
+RUN --mount=type=cache,target=/root/.cache/pip \
+    --mount=type=bind,source=requirements.txt,target=requirements.txt \
+    python -m pip install -r requirements.txt
+
+# Switch to the non-privileged user to run the application.
+USER appuser
+
+# Copy the source code into the container.
+COPY . .
+
+# Expose the port that the application listens on.
+EXPOSE 5001
+
+# Run the application.
+CMD python3 app.py
diff --git a/MEERDERE_SCHOLEN.md b/MEERDERE_SCHOLEN.md
new file mode 100644
index 0000000..d0e30d2
--- /dev/null
+++ b/MEERDERE_SCHOLEN.md
@@ -0,0 +1,69 @@
+# PIVOT voor meerdere scholen (versie 1.1.0)
+
+Eén PIVOT voor alle scholen. Zie **DATABASE.md** voor de databasestructuur (2026-27), de installatie en de rechten.
+
+Elke school heeft:
+
+- een **eigen database** (zelfde tabellen, eigen gegevens). De PIVOT-gebruikers en hun rechten per school staan centraal;
+- een **eigen e-maildomein** (of meerdere). Bij *Inloggen met Google* wordt de school daaraan herkend;
+- **eigen koppelingen**: Smartschool (webservice-wachtwoord, OneRoster), Informat (instellingsnummer, client-ID/secret),
+  Google (serviceaccount-sleutel, admin, SMTP, OU's, 2FA), Signpost/M4S, CO2-netwerk en personeelsinstellingen.
+
+Alles wat per school verschilt staat in de tabel `Scholen` van de centrale database. Geheimen (wachtwoorden,
+client-secrets en de Google-sleutel) worden daar **versleuteld** bewaard. `config.ini` bevat enkel nog wat voor alle scholen geldt.
+
+## Eerste installatie / overzetten van 1.0.9
+
+1. **Versleutelingssleutel maken** en veilig bewaren (zonder deze sleutel zijn de opgeslagen geheimen onleesbaar):
+   ```
+   python beheer.py nieuwe-sleutel
+   ```
+   Zet ze in de omgevingsvariabele `PIVOT_SLEUTEL` (of laat PIVOT ze zelf aanmaken in `geheimen/pivot.key`).
+   Zet ook `FLASK_SECRET_KEY` (willekeurige lange tekst) en `PIVOT_DB_PASSWORD`.
+2. **config.ini invullen**: databaseserver, `superbeheerders` (Google-accounts van de scholengroep-ICT),
+   en eventueel een gedeelde Google-login (`[google_sso]`).
+3. **Databases aanmaken**: `mysql -u <gebruiker> -p < sql/installatie_pivot_26-27.sql`
+   (centrale database `pivot`, school Scholengroep Antwerpen + database, administrator Marijn). Zie DATABASE.md.
+4. **Bestaande school importeren** uit de oude config.ini (alle wachtwoorden worden versleuteld overgenomen):
+   ```
+   python beheer.py importeer-config pad/naar/oude/config.ini --google-sleutel pad/naar/kamxm_api_key.json
+   ```
+5. Starten, inloggen met Google als superbeheerder → **🏫 Alle scholen beheren** → **Nieuwe school** voor de andere scholen.
+   Bij een nieuwe school kan PIVOT de database meteen aanmaken (lege standaardstructuur, of een volledige kopie
+   van een bestaande school, mét gegevens en desgewenst met haar koppelingen en gebruikersrechten). Geef daarna via **🔐 Gebruikers & rechten** de juiste mensen rechten in die school.
+6. Per school: **🩺 Testen** controleert database, Smartschool, OneRoster, Informat, Google en Signpost.
+
+## Wie mag wat
+
+| Rol | Hoe | Mag |
+|---|---|---|
+| Administrator | `Gebruikers.Veiligheidsgroep = 1` (bv. Marijn), of Google-account in `config.ini › superbeheerders` | alles in alle scholen: scholen toevoegen, gebruikers en rechten beheren, wisselen tussen scholen |
+| Gebruiker | `Veiligheidsgroep = 2` + rechten per school | enkel de aangevinkte onderdelen, enkel in die scholen (zie DATABASE.md) |
+| Leerkracht | Google-login, in de personeels-OU's, geen account | enkel de personeelsmodule |
+
+Een administrator kan ook met gebruikersnaam en wachtwoord inloggen. Geef die rol dus enkel aan wie dat echt nodig heeft,
+met een sterk wachtwoord.
+
+## Hoe wordt de school bepaald?
+
+1. **Eigen webadres**: krijgt een school een hostnaam (bv. `pivot.school.be`), dan ligt de school daar vast.
+2. **Google-login**: het domein van het e-mailadres bepaalt de school.
+3. **Gebruikersnaam/wachtwoord**: de gebruiker kiest de school in een keuzelijst (die wordt onthouden op het toestel).
+
+## Google-login
+
+- **Gedeeld** (aanrader): één OAuth-client (type *Webtoepassing*, toestemmingsscherm *Extern*) in `config.ini › [google_sso]`.
+  Werkt voor alle domeinen. Redirect-URI: `https://<pivot-adres>/callback`.
+- **Per school**: vul bij de school *Google-login client-ID/secret* in (bv. een *Interne* app in de Workspace van die school).
+
+## Achtergrondtaken
+
+De dagelijkse synchronisatie van afwezigheden en het opruimen van 2FA-uitzonderingen lopen nu voor **alle actieve
+scholen** (elk op het eigen sync-uur). Scholen zonder Smartschool-wachtwoord of Google-sleutel worden overgeslagen.
+
+## Aandachtspunten
+
+- **CO2-sensoren**: de scanner zoekt op het netwerk van de school. Draait PIVOT centraal, dan moet de server die netwerken kunnen bereiken.
+- **Schooljaar**: leeg laten = automatisch (wisselt op 1 september). De Informat-telling gebruikt nu *vandaag + 1 maand* als
+  referentiedatum (vroeger vast `2027-1-3`) en het schooljaar van de school (vroeger vast `2025-26`).
+- De kolom `KAMXM_nummer` behoudt die naam in elke schooldatabase (het is een interne kolomnaam). In de schermen staat "Toestelnummer".
diff --git a/OVERDRACHT.md b/OVERDRACHT.md
new file mode 100644
index 0000000..7a5f101
--- /dev/null
+++ b/OVERDRACHT.md
@@ -0,0 +1,111 @@
+# PIVOT 1.1.0 (meerdere scholen) – overdracht
+
+Dit document vat samen hoe PIVOT in elkaar zit, welke afspraken er in de code gelden en wat er recent bijkwam.
+Het is bedoeld voor wie verder werkt aan PIVOT (zelf, of samen met een AI-assistent: geef dan dit bestand en de
+zip van het project mee). Lees ook **MEERDERE_SCHOLEN.md** (installatie, rollen) en **DATABASE.md** (tabellen).
+
+> ⚠️ `config.ini` en de map `geheimen/` bevatten echte wachtwoorden en sleutels. Deel ze niet en zet ze nooit in
+> een chat, ticket of e-mail. Geef een collega een kopie van het project **zonder** die bestanden en laat hem/haar
+> een eigen `config.ini` invullen.
+
+---
+
+## 1. Architectuur in het kort
+
+- **Flask-app** (`app.py`) met ±40 blueprints (`blueprints/`) en de logica in `services/`; HTML in `templates/`
+  (Jinja, `base.html` + `static/global.css`).
+- **Multi-tenant** (`tenancy.py`): één centrale database (`Scholen`, `Gebruikers`, rechten, logs, ...) en één database
+  per school (toestellen, leerlingen, ...).
+  - `huidige_school()` = de school van het verzoek; `in_school(school)` / `met_school(fn)` voor achtergrondthreads.
+  - Instellingen per school = `Veld(...)` in `tenancy.VELDEN` (verschijnen vanzelf in 🔌 Koppelingen);
+    lezen met `school.get('SLEUTEL')` of `Config.SLEUTEL` (metaclass leest de huidige school).
+  - `school.cache` = per-school geheugen (wordt leeggemaakt bij wijzigingen aan de school).
+  - `school_singleton(cls, init)` = één object per school (gebruikt voor achtergrondtaken met `status`-dict).
+  - `google_credentials(scopes, subject)` = serviceaccount van de school, gedelegeerd naar `subject`.
+- **Database** (`database.py`): `execute_query` (schooldatabase), `central_query` (centraal); `commit=True` geeft
+  het aantal rijen terug. Pools per database (`config.ini › [database] › pool_size`, standaard 3).
+- **Rechten** (`rechten.py`): `ONDERDELEN` = lijst (code, naam, categorie); routes met `@recht_vereist('code')`,
+  templates met `{% if mag('code') %}`. Een nieuw onderdeel verschijnt vanzelf in 🔐 Gebruikers & rechten.
+  `log(...)` schrijft in het logboek.
+- **Achtergrondtaken**: threads gestart in `app.py` (enkel in het echte proces, niet in de reloader):
+  afwezigheden, 2FA, Skore, GO! Pro (nachtelijk verzamelen), Gmail-handtekeningen (nachtelijk). Taken die maar één keer
+  per dag mogen lopen, "claimen" de dag met een `UPDATE ... WHERE` (werkt ook met meerdere processen).
+- **Opstarten**: `tenancy.ensure_schema()` (centrale tabellen) en `services/tabelnamen.py` (zie §5).
+
+## 2. Afspraken in de code
+
+- Alles in het **Nederlands** (namen, meldingen, commentaar).
+- Tabellen die een module zelf nodig heeft: `CREATE TABLE IF NOT EXISTS` in een `ensure_tables()`/`*_ensure()` in de
+  service, én dezelfde DDL in `sql/school.sql` of `sql/centraal.sql` + `sql/installatie_pivot_26-27.sql`, én een regel
+  in `DATABASE.md`. Kolommen die later bijkomen: `SHOW COLUMNS` + `ALTER TABLE` in de ensure-functie.
+- Tabelnamen met hoofdletters moeten exact kloppen (Linux!); zie §5.
+- **Templates**:
+  - `{% block main_class %}wide{% endblock %}` voor brede tabellen; tabellen met zoeken/sorteren/paginering in de
+    browser (helpers `perPagina(sleutel, standaard)` en `perPaginaKiezer(...)` uit `base.html`).
+  - In HTML-attributen (`onsubmit="..."`, `onchange`, `data-...`) altijd `|tojson|forceescape`, anders breekt het
+    attribuut op de aanhalingstekens (bevestigingsvragen werkten daardoor niet meer).
+  - Elementen die met het `hidden`-attribuut verborgen worden: zet `[hidden] { display: none !important; }` in de
+    pagina-CSS (knopstijlen overschrijven het anders).
+- **CSV-exports**: `;` als scheidingsteken en UTF-8 met BOM (Excel). **Excel**: openpyxl.
+- **Google-fouten** vertalen naar begrijpelijke meldingen (`vriendelijk(e)` in de services) mét de scope die ontbreekt.
+
+## 3. Nieuw onderdeel toevoegen (checklist)
+
+1. `services/<naam>_service.py` (logica, tabellen) en `blueprints/<naam>_bp.py` (routes).
+2. Blueprint registreren in `app.py`.
+3. Recht in `rechten.ONDERDELEN` (code, naam, categorie).
+4. Link in het juiste blok van `templates/dashboard.html` (`{% if mag('code') %}`; voeg de code ook toe aan de
+   `mag(...)`-voorwaarde van het blok).
+5. Nieuwe Google-scope? Toevoegen aan de lijst + tabel in `services/handleidingen_standaard.py` (de handleiding in
+   de database wordt **niet** automatisch bijgewerkt: zelf aanpassen in 📘 Handleidingen).
+6. SQL-bestanden en `DATABASE.md` bijwerken.
+
+## 4. Overzicht van recente onderdelen
+
+| Onderdeel | Bestanden | Opmerkingen |
+|---|---|---|
+| IP-blokkades / whitelist | `ipblokkade_bp.py`, `services/ipblokkade.py` | gewone gebruikers met recht `ip_whitelist` zien/beheren enkel hun eigen school |
+| Aanmelden | `blueprints/auth.py` | geen schoolkeuze meer: laatste school → domein → cookie → laagste instellingsnummer; domeinen mogen gedeeld worden door meerdere scholen |
+| GO! Pro + verzameltabel | `gopro_bp.py`, `gopro_service.py`, `gopro*.html` | verzameltabel (centraal), rode lijst, verzonden, nachtelijk verzamelen; periode = lopend schooljaar (1/9–31/8) |
+| Leerlingfacturatie | `facturatie_bp.py`, `facturatie_service.py` | Informat Invoice API (GraphQL); scope per toegangsgroep (`<GUID>_<installatie>`), wordt zelf gezocht |
+| Internaat | `internaat_bp.py`, `internaat_service.py`, `aanwezigheid_service.py` | Internaat WEB API; aanwezigheden per week; Smartschool-check "voornaam achternaam" |
+| Gmail | `gmail_delegatie_bp.py`, `gmail_labels_bp.py`, `handtekeningen_bp.py`, `contacten_bp.py`, `verzendlijsten_bp.py` | delegaties (+ overzicht), mails verplaatsen, handtekeningen (functie/telefoon uit Google, nachtelijk), contactlijsten in mailboxen + zichtbaarheid adresboek |
+| Google | `google_licenties_bp.py`, `gedeelde_drives_bp.py` | licenties (customerId: domein of klant-ID), gedeelde drives: leden/rechten, "waar is iemand lid van", gebruiker vervangen (zelfde rol) |
+| Smartschool | `sgr_groepen_bp.py`, `sgr_groepen_service.py` | subgroepen + leden van een hoofdgroep (standaard "groepen GO-Antwerpen") |
+| Basisonderwijs | `basisonderwijs_bp.py`, `bingel_service.py` | blok enkel bij Onderwijsniveau = basis; Bingel-Excel (klas uit Informat-inschrijvingen, klasnummer alfabetisch) |
+| Toestellen | `devices.py`, `inventaris.html`, `toestellen.html` | eigendom: alle leerlingen + filter met/zonder toestel, historie per leerling en per toestel, knoppen uitdelen/inleveren; Alle toestellen: blokkeren/deblokkeren in Google (kolom `Toestellen.Geblokkeerd`) |
+| Dashboard | `dashboard.html` | blokken Gmail, Internaat, Basisonderwijs, Leerlingfacturatie, Links (website + Smartschool) |
+
+Benodigde Google-scopes (domeinbrede delegatie) staan in 📘 Handleidingen; recent bijgekomen:
+`gmail.modify`, `gmail.settings.basic`, `contacts`, `drive`. De bijbehorende API's (Gmail, People, Drive,
+Enterprise License Manager) moeten aanstaan in het Cloud-project van het serviceaccount.
+
+## 5. Omgeving en installatie-aandachtspunten
+
+- **Windows → Linux**: MySQL op Windows bewaart tabelnamen in kleine letters; op Linux (`lower_case_table_names = 0`)
+  herstelt `services/tabelnamen.py` dat bij het opstarten en bij 🩺 Testen (enkel voor de tabellen die PIVOT kent;
+  zijn beide versies gevuld, dan enkel een melding in het logboek).
+- **"1040 Too many connections"**: (aantal scholen + 1) × `pool_size` per PIVOT-proces moet onder `max_connections`
+  van MySQL blijven. Oplossing: `SET PERSIST max_connections = 500;` of `pool_size` verlagen.
+- **Productie**: liefst nginx (HTTPS, Let's Encrypt) + gunicorn/waitress i.p.v. de Flask-ontwikkelserver, en de
+  poort van PIVOT enkel intern openzetten. Het logo van Gmail-handtekeningen (`/handtekening-logo/...`) moet wel
+  publiek bereikbaar zijn (de IP-blokkering slaat die route over).
+
+## 6. Nog niet getest tegen de echte omgeving / openstaand
+
+Onderstaande onderdelen werden enkel getest met nagebootste antwoorden; bij het eerste echte gebruik goed nakijken:
+
+- **Bingel**: het veld met de klas in de Informat-inschrijvingen (`inschrKlassen`); de pagina toont de veldnamen
+  die Informat teruggeeft als iets leeg blijft.
+- **SGR groepen**: formaat van `getAllGroupsAndClasses` (XML/base64) en de leden per groep.
+- **Contactlijsten** (People API), **gedeelde drives** (Drive API), **handtekeningen** (Gmail sendAs).
+- **Licenties**: terugval op de klant-ID als het schooldomein geen primair domein is.
+- **Leerlingfacturatie**: automatisch zoeken van de scope (identityserver).
+- Informat-fout "SqlDateTime overflow" bij één school = foute datum in Informat zelf (niet in PIVOT).
+
+## 7. Verder werken
+
+- Elke wijziging werd telkens als volledige zip van `Pivot_1.1.0` aangeleverd (zonder `__pycache__`).
+- Bij een nieuwe vraag aan een AI-assistent: geef dit bestand, `DATABASE.md`, `MEERDERE_SCHOLEN.md` en de
+  betrokken bestanden mee (of de hele zip zonder `config.ini`/`geheimen/`), en beschrijf wat je wil met een
+  schermafbeelding erbij.
diff --git a/README.Docker.md b/README.Docker.md
new file mode 100644
index 0000000..54cff9e
--- /dev/null
+++ b/README.Docker.md
@@ -0,0 +1,22 @@
+### Building and running your application
+
+When you're ready, start your application by running:
+`docker compose up --build`.
+
+Your application will be available at http://localhost:5001.
+
+### Deploying your application to the cloud
+
+First, build your image, e.g.: `docker build -t myapp .`.
+If your cloud uses a different CPU architecture than your development
+machine (e.g., you are on a Mac M1 and your cloud provider is amd64),
+you'll want to build the image for that platform, e.g.:
+`docker build --platform=linux/amd64 -t myapp .`.
+
+Then, push it to your registry, e.g. `docker push myregistry.com/myapp`.
+
+Consult Docker's [getting started](https://docs.docker.com/go/get-started-sharing/)
+docs for more detail on building and pushing.
+
+### References
+* [Docker's Python guide](https://docs.docker.com/language/python/)
\ No newline at end of file
diff --git a/app.py b/app.py
new file mode 100644
index 0000000..fbfd840
--- /dev/null
+++ b/app.py
@@ -0,0 +1,301 @@
+import os
+from flask import Flask, render_template, redirect, url_for
+from config import Config
+import tenancy
+import rechten
+from tenancy import school_op_code, school_voor_host, GeenSchoolFout, KoppelingOntbreekt
+
+#-----------------------------------------------------
+# Blueprints importeren
+#-----------------------------------------------------
+from blueprints.devices import devices_bp
+from blueprints.students import students_bp
+from blueprints.repairs import repairs_bp
+from blueprints.auth import auth_bp, oauth  # OAuth toegevoegd aan import
+from blueprints.dashboard_bp import main_bp
+from blueprints.google_admin import google_bp
+from blueprints.admin import admin_bp
+from blueprints.tools import tools_bp
+from blueprints.co2_sensor import co2_sensor_bp
+from blueprints.smartschool_bp import smartschool_bp
+from blueprints.leerlingenaantal_bp import leerlingenaantal_bp
+from blueprints.handleidingen_bp import handleidingen_bp, lijst as handleidingen_lijst, mag_lezen as handleidingen_mag_lezen
+from blueprints.nieuw_schooljaar_accounts_bp import account_verplaatsen_bp
+from blueprints.nieuw_schooljaar_toestellen_bp import toestellen_verplaatsen_bp
+from blueprints.qr_code_bp import qr_code_bp
+from blueprints.smartschool_activiteit_bp import ss_bp
+from services.smartschool_api import SmartschoolService
+from blueprints.bugreport_bp import bugreport_bp
+from blueprints.bugreport_overzicht_bp import bugreport_overzicht_bp
+from blueprints.signpost_devices_bp import signpost_devices_bp
+from blueprints.google_licenties_bp import google_licenties_bp
+from blueprints.gmail_delegatie_bp import gmail_delegatie_bp
+from blueprints.afwezigheden_bp import afwezigheden_bp
+from services.afwezigheden_service import AfwezighedenService
+from blueprints.tweestaps_bp import tweestaps_bp
+from services.tweestaps_service import TweestapsService
+from blueprints.personeel_bp import personeel_bp
+from blueprints.scholen_bp import scholen_bp
+from blueprints.skore_bp import skore_bp
+from services import skore_service
+from services import personeel_service
+from flask import session, request, flash, g
+#------------------------------------------------------
+# Services importeren
+#------------------------------------------------------
+from services.co2_service import CO2Scanner
+
+
+def create_app():
+    # Maak de app aan
+    app = Flask(__name__)
+    app.config.from_object(Config)
+    if Config.PROXY_AANTAL:
+        # Achter een reverse proxy: het echte IP-adres komt uit X-Forwarded-For (enkel van die proxy's vertrouwd)
+        from werkzeug.middleware.proxy_fix import ProxyFix
+        n = Config.PROXY_AANTAL
+        app.wsgi_app = ProxyFix(app.wsgi_app, x_for=n, x_proto=n, x_host=n)
+    # Handleidingen bevatten schermafbeeldingen (base64); Flask laat standaard maar 500 kB formulierdata toe
+    app.config['MAX_FORM_MEMORY_SIZE'] = 30 * 1024 * 1024
+
+    #------------------------------------------------------
+    # OAuth Initialisatie
+    #------------------------------------------------------
+    oauth.init_app(app)
+
+    
+    # Google-login: clients worden per school (of gedeeld) aangemaakt in blueprints/auth.py
+
+    # Centrale tabellen (Scholen, Gebruikers, rechten, Logs, Bugs) aanmaken indien nodig
+    try:
+        tenancy.ensure_schema()
+    except Exception as e:
+        print(f"PIVOT: centrale database niet bereikbaar bij opstarten: {e}", flush=True)
+    # Databases van de scholen: tabelnamen met hoofdletters herstellen (Windows → Linux), zie services/tabelnamen.py
+    try:
+        from services.tabelnamen import herstel_alle_scholen
+        herstel_alle_scholen()
+    except Exception as e:
+        print(f"PIVOT: tabelnamen van de scholen nakijken mislukt: {e}", flush=True)
+   
+    #------------------------------------------------------
+    # Blueprints registreren
+    #------------------------------------------------------
+    # Registreert alle url prefixen voor zichtbaarheid en om naamconflicten te vermijden
+    app.register_blueprint(auth_bp)
+    app.register_blueprint(main_bp)
+    app.register_blueprint(devices_bp, url_prefix='/devices') 
+    app.register_blueprint(students_bp, url_prefix='/leerlingen')
+    app.register_blueprint(repairs_bp, url_prefix='/herstellingen')
+    app.register_blueprint(google_bp, url_prefix='/google')
+    app.register_blueprint(admin_bp, url_prefix='/admin')
+    app.register_blueprint(tools_bp, url_prefix='/tools')
+    app.register_blueprint(co2_sensor_bp, url_prefix='/co2')
+    app.register_blueprint(smartschool_bp, url_prefix='/ss')
+
+
+    #-------------------------
+    app.register_blueprint(leerlingenaantal_bp, url_prefix='/scholengroep')
+    from blueprints.gopro_bp import gopro_bp
+    app.register_blueprint(gopro_bp, url_prefix='/scholengroep/gopro')
+    from blueprints.facturatie_bp import facturatie_bp
+    app.register_blueprint(facturatie_bp, url_prefix='/leerlingfacturatie')
+    from blueprints.gmail_labels_bp import gmail_labels_bp
+    app.register_blueprint(gmail_labels_bp, url_prefix='/google/labels-verplaatsen')
+    from blueprints.handtekeningen_bp import handtekeningen_bp, handtekening_logo_bp
+    app.register_blueprint(handtekeningen_bp, url_prefix='/google/handtekeningen')
+    app.register_blueprint(handtekening_logo_bp)
+    from blueprints.contacten_bp import contacten_bp
+    from blueprints.gedeelde_drives_bp import gedeelde_drives_bp
+    app.register_blueprint(gedeelde_drives_bp, url_prefix='/google/gedeelde-drives')
+    from blueprints.basisonderwijs_bp import basisonderwijs_bp
+    app.register_blueprint(basisonderwijs_bp, url_prefix='/basisonderwijs')
+    app.register_blueprint(contacten_bp, url_prefix='/google/contacten')
+    from blueprints.internaat_bp import internaat_bp
+    app.register_blueprint(internaat_bp, url_prefix='/internaat')
+    from blueprints.sgr_groepen_bp import sgr_groepen_bp
+    app.register_blueprint(sgr_groepen_bp, url_prefix='/smartschool/sgr-groepen')
+    from blueprints.personeelsaantal_bp import personeelsaantal_bp
+    app.register_blueprint(personeelsaantal_bp, url_prefix='/personeelsaantallen')
+    #---------------------------
+
+    #-------------------------
+    app.register_blueprint(account_verplaatsen_bp, url_prefix='/nieuw_schooljaar')
+    #---------------------------    
+
+    #----------------------------
+    app.register_blueprint(toestellen_verplaatsen_bp, url_prefix='/nieuw_schooljaar_toestellen')
+    #---------------------------
+
+    #---------------------------
+    app.register_blueprint(qr_code_bp, url_prefix='/qr_code')
+    #----------------------------
+
+    #-----------------------------
+    app.register_blueprint(ss_bp,url_prefix='/activiteit')
+    #------------------------------
+    
+    #-----------------------------
+    app.register_blueprint(bugreport_bp,url_prefix='/bugreport')
+    app.register_blueprint(bugreport_overzicht_bp,url_prefix='/bugreport_overzicht')
+    #------------------------------
+    app.register_blueprint(signpost_devices_bp,url_prefix='/signpost_devices')
+    app.register_blueprint(google_licenties_bp, url_prefix='/google_licenties')
+    app.register_blueprint(gmail_delegatie_bp, url_prefix='/gmail_delegatie')
+    app.register_blueprint(afwezigheden_bp, url_prefix='/afwezigheden')
+    app.register_blueprint(tweestaps_bp, url_prefix='/2fa')
+    app.register_blueprint(personeel_bp, url_prefix='/personeel')
+    app.register_blueprint(scholen_bp, url_prefix='/scholen')
+    app.register_blueprint(skore_bp, url_prefix='/skore')
+    app.register_blueprint(handleidingen_bp, url_prefix='/handleidingen')
+    from blueprints.verzendlijsten_bp import verzendlijsten_bp
+    app.register_blueprint(verzendlijsten_bp, url_prefix='/google/verzendlijsten')
+    from blueprints.ipblokkade_bp import ipblokkade_bp
+    app.register_blueprint(ipblokkade_bp, url_prefix='/beheer/ip-blokkades')
+
+    #------------------------------------------------------
+    # Welke school? (per request)
+    #------------------------------------------------------
+    # Endpoints die zonder gekozen school werken
+    ZONDER_SCHOOL = ('static', 'index', 'auth.', 'scholen.')
+    # Publieke pagina's (zonder login): school via hostnaam of ?school=code
+    PUBLIEK = ('tools.',)
+
+    # IP-blokkades: als eerste controle, voor elke aanvraag (ook de loginpagina en statische bestanden)
+    @app.before_request
+    def ip_blokkade():
+        from services import ipblokkade
+        if request.endpoint == 'handtekening_logo.logo':
+            return None     # het logo van de Gmail-handtekening moet voor iedereen (ook Google) bereikbaar zijn
+        if ipblokkade.controleer(request.remote_addr):
+            return ("<!doctype html><meta charset='utf-8'><title>Toegang geweigerd</title>"
+                    "<div style='font-family:system-ui,sans-serif;max-width:480px;margin:15vh auto;text-align:center'>"
+                    "<h1>Toegang geweigerd</h1><p>Je hebt geen toegang tot deze site.</p></div>", 403)
+        return None
+
+    @app.before_request
+    def bepaal_school():
+        ep = request.endpoint or ''
+        host_school = school_voor_host(request.host)
+        g.school = None
+
+        if session.get('auth'):
+            code = session.get('school')
+            school = school_op_code(code) if code else None
+            if code and school is None:
+                session.clear()
+                flash("Je school is niet (meer) actief in PIVOT. Log opnieuw in.", "error")
+                return redirect(url_for('auth.login'))
+            if host_school and school and host_school.code != school.code and not session.get('superbeheerder'):
+                # Sessie van een andere school op het adres van deze school → opnieuw inloggen
+                session.clear()
+                return redirect(url_for('auth.login'))
+            g.school = school
+            if school is None and not ep.startswith(ZONDER_SCHOOL):
+                # Superbeheerder zonder gekozen school
+                return redirect(url_for('scholen.overzicht'))
+        else:
+            g.school = host_school
+            if g.school is None and ep.startswith(PUBLIEK):
+                g.school = school_op_code(request.args.get('school'))
+            if g.school is None and ep.startswith(PUBLIEK):
+                flash("Kies eerst een school.", "error")
+                return redirect(url_for('auth.login'))
+        return None
+
+    @app.errorhandler(GeenSchoolFout)
+    def geen_school(e):
+        session.clear()
+        flash(str(e), "error")
+        return redirect(url_for('auth.login'))
+
+    @app.errorhandler(KoppelingOntbreekt)
+    def koppeling_ontbreekt(e):
+        flash(str(e), "error")
+        return redirect(url_for('main.dashboard'))
+
+    # Leerkrachten die via Google inloggen (groep 5) hebben enkel toegang tot de personeelsmodule
+    @app.before_request
+    def beperk_leerkrachten():
+        if session.get('security_group') != personeel_service.LEERKRACHT_GROEP:
+            return None
+        ep = request.endpoint or ''
+        if ep == 'static' or ep.startswith('personeel.') or ep.startswith('auth.'):
+            return None
+        if ep not in ('main.dashboard', 'index'):
+            flash("Je hebt enkel toegang tot de module afwezigheden en activiteiten.", "error")
+        return redirect(url_for('personeel.mijn'))
+
+    # Dagelijkse synchronisatie van afwezigheden (B-codes) uit Smartschool.
+    # In debugmodus start Flask twee processen; enkel het 'echte' proces start de taak.
+    # Eén achtergrondtaak per soort, die telkens alle scholen overloopt.
+    if not app.debug or os.environ.get('WERKZEUG_RUN_MAIN') == 'true':
+        AfwezighedenService.start_scheduler()
+        TweestapsService.start_scheduler()   # verlopen 2FA-uitzonderingen automatisch beëindigen
+        skore_service.start_scheduler()      # geplande Skore-synchronisatie per school
+        from services import gopro_service
+        gopro_service.start_scheduler()      # GO! Pro: 's nachts de groene naar de verzameltabel (als de schakelaar aan staat)
+        from services import handtekening_service
+        handtekening_service.start_scheduler()   # Gmail-handtekeningen 's nachts opnieuw zetten (per school, schakelaar)
+    #------------------------------
+
+    @app.context_processor
+    def inject_school_info():
+        school = g.get('school')
+        info = {
+            'school': school,
+            'version': app.config.get('APP_VERSION'),
+            'is_superbeheerder': bool(session.get('superbeheerder')),
+            'school_name': school.naam if school else '',
+            'school_name_short': school.code if school else '',
+            'contact_email': school.get('CONTACT_EMAIL') if school else '',
+            'personeel_rollen': set(),
+            # Rechten: {% if mag('herstellingen') %} ... {% endif %}
+            'mag': rechten.heeft_recht,
+            'is_admin': rechten.is_admin(),
+            'andere_scholen': [],
+            'handleidingen_lijst': handleidingen_lijst,
+            'mag_handleidingen': handleidingen_mag_lezen,   # functie: enkel opgehaald waar gebruikt (dashboard)
+        }
+        if school and session.get('auth'):
+            info['personeel_rollen'] = personeel_service.rollen(session)
+            info['andere_scholen'] = mijn_andere_scholen(school)
+        return info
+
+    def mijn_andere_scholen(school):
+        """Andere scholen waarin de ingelogde gebruiker rechten heeft (om te wisselen)."""
+        try:
+            if rechten.is_admin():
+                return [s for s in tenancy.alle_scholen() if s.code != school.code]
+            gid = session.get('gebruiker_id')
+            if not gid:
+                return []
+            ids = rechten.scholen_met_rechten(gid)
+            return [s for s in tenancy.alle_scholen() if s.id in ids and s.code != school.code]
+        except Exception:
+            return []
+
+    # Logboek: elke bezochte pagina van een ingelogde gebruiker → tabel Logs (centrale database)
+    LOG_OVERSLAAN = ('static', 'co2_sensor.get_scan_status', 'co2_sensor.get_cleanup_status',
+                     'afwezigheden.status')
+    LOGBOEK = Config.LOGBOEK
+
+    @app.after_request
+    def logboek(response):
+        if LOGBOEK and session.get('auth') and request.endpoint and request.endpoint not in LOG_OVERSLAAN \
+                and response.status_code < 500:
+            rechten.log(actie=request.method if request.method != 'GET' else None)
+        return response
+
+    # Definieert de root, wordt uitgevoerd zodra iemand op de startpagina komt
+    @app.route('/')
+    def index():
+        return redirect(url_for('auth.login'))
+
+    return app
+
+# Start de applicatie
+if __name__ == "__main__":
+    app = create_app()
+    # Debug aanzetten via config.ini › [algemeen] › debug = ja
+    app.run(debug=Config.DEBUG, host='0.0.0.0', port=5001)
\ No newline at end of file
diff --git a/beheer.py b/beheer.py
new file mode 100644
index 0000000..4406cb5
--- /dev/null
+++ b/beheer.py
@@ -0,0 +1,292 @@
+"""
+Beheer van PIVOT vanaf de opdrachtregel.
+
+  python beheer.py init
+        Maakt de tabellen van de centrale database aan (Scholen, Gebruikers, rechten, Logs, Bugs).
+
+  python beheer.py nieuwe-schooldatabase DATABASE
+        Maakt een lege schooldatabase met de standaardstructuur (sql/school.sql).
+
+  python beheer.py gebruiker NAAM [--wachtwoord W] [--email E] [--admin]
+        Maakt een PIVOT-gebruiker aan, of zet een nieuw wachtwoord / maakt hem administrator.
+
+  python beheer.py rechten NAAM SCHOOLCODE [onderdeel ...|alles|geen]
+        Toont of zet de rechten van een gebruiker in een school.
+
+  python beheer.py importeer-config OUDE_CONFIG.ini [--google-sleutel sleutel.json] [--code kamxm] [--db Pivot_26-27]
+        Zet een school uit een config.ini van PIVOT 1.0.x in het scholenregister
+        (alle wachtwoorden en koppelingen worden versleuteld overgenomen).
+
+  python beheer.py lijst
+        Toont alle scholen.
+
+  python beheer.py kopieer-school BRONCODE NIEUWE_DATABASE
+        Maakt een nieuwe database als volledige kopie (tabellen + gegevens) van de database van BRONCODE.
+        Registreer ze daarna als school via PIVOT (Nieuwe school › Database aanmaken? › Nee, bestaat al).
+
+  python beheer.py nieuwe-sleutel
+        Toont een nieuwe versleutelingssleutel (voor PIVOT_SLEUTEL).
+"""
+import argparse
+import configparser
+import json
+import os
+import sys
+
+from cryptography.fernet import Fernet
+
+# Oude config.ini → velden in het scholenregister
+MAPPING = {
+    ('schoolgegevens', 'admin_email'): 'ADMIN_EMAIL',
+    ('schooljaar', 'huidig_schooljaar'): 'SCHOOLYEAR',
+    ('google', 'ou_nieuwe_lln'): 'STUDENT_OU',
+    ('google', 'google_sso_clientid'): 'GOOGLE_SSO_CLIENTID',
+    ('google', 'google_sso_clientsecret'): 'GOOGLE_SSO_CLIENTSECRET',
+    ('google', 'google_smtp_server'): 'GOOGLE_SMTP_SERVER',
+    ('google', 'google_smtp_port'): 'GOOGLE_SMTP_PORT',
+    ('google', 'google_sender_adres'): 'GOOGLE_SMTP_SENDER_adres',
+    ('google', 'google_email_passsword'): 'GOOGLE_SMTP_EMAIL_PASSWORD',
+    ('google', 'google_api_scopes'): 'GOOGLE_API_SCOPES_RAW',
+    ('google', 'tweestaps_uitzondering_groep'): 'TWEESTAPS_UITZONDERING_GROEP',
+    ('google', 'tweestaps_ous'): 'TWEESTAPS_OUS',
+    ('google', 'tweestaps_groepen'): 'TWEESTAPS_GROEPEN_RAW',
+    ('informat', 'client_id'): 'INFORMAT_ID',
+    ('informat', 'client_secret'): 'INFORMAT_SECRET',
+    ('informat', 'intitute_number'): 'INFORMAT_INST_NUMBER',
+    ('informat', 'autho_url'): 'INFORMAT_AUTH_URL',
+    ('informat', 'api_base'): 'INFORMAT_API_BASE',
+    ('informat', 'scope'): 'INFORMAT_SCOPE',
+    ('smartschool', 'ss_client_id'): 'SS_CLIENT_ID',
+    ('smartschool', 'ss_client_secret'): 'SS_CLIENT_SECRET',
+    ('smartschool', 'ss_api_pw'): 'SS_API_PW',
+    ('smartschool', 'ss_api_platform'): 'SS_API_PLATFORM',
+    ('smartschool', 'afwezigheid_codes'): 'AFWEZIGHEID_CODES',
+    ('smartschool', 'afwezigheid_sync_uur'): 'AFWEZIGHEID_SYNC_UUR',
+    ('CO2_sensor', 'co2_netwerk'): 'CO2_NETWORK',
+    ('CO2_sensor', 'co2_beginadres'): 'CO2_START_ADDR',
+    ('CO2_sensor', 'co2_eindadres'): 'CO2_END_ADDR',
+    ('CO2_sensor', 'co2_waardedrempel'): 'CO2_THRESHOLD',
+    ('CO2_sensor', 'co2_scan_interval'): 'CO2_INTERVAL',
+    ('personeel', 'personeel_ous'): 'PERSONEEL_OUS',
+    ('personeel', 'directie'): 'PERSONEEL_DIRECTIE',
+    ('personeel', 'secretariaat'): 'PERSONEEL_SECRETARIAAT',
+    ('personeel', 'secretariaat_mail'): 'PERSONEEL_SECRETARIAAT_MAIL',
+    ('personeel', 'mails_versturen'): 'PERSONEEL_MAILS',
+    ('m4s', 'm4s_base_data_url'): 'M4S_BASE_URL',
+    ('m4s', 'm4s_auth_url'): 'M4S_AUTH_URL',
+    ('m4s', 'm4s_clientid'): 'M4S_CLIENT_ID',
+    ('m4s', 'm4s_clientsecret'): 'M4S_CLIENT_SECRET',
+    ('m4s', 'm4s_institutionguid'): 'M4S_INSTITUTIONGUID',
+    ('m4s', 'm4s_repair_location_type'): 'M4S_REPAIR_LOCATION_TYPE',
+    ('m4s', 'm4s_repair_status'): 'M4S_REPAIR_STATUS',
+    ('m4s', 'm4s_truth_statement'): 'M4S_TRUTH_STATEMENT',
+    ('m4s', 'm4s_repair_at_institution'): 'M4S_REPAIR_AT_INTITUTION',
+    ('m4s', 'm4s_contact_first_name'): 'M4S_CONTACT_FIRST_NAME',
+    ('m4s', 'm4s_contact_last_name'): 'M4S_CONTACT_LAST_NAME',
+    ('m4s', 'm4s_contact_email'): 'M4S_CONTACT_EMAIL',
+    ('m4s', 'm4s_contact_phone'): 'M4S_CONTACT_PHONE',
+    ('m4s', 'm4s_repair_street'): 'M4S_REPAIR_STREET',
+    ('m4s', 'm4s_repair_streetnumber'): 'M4S_REPAIR_STREETNUMBER',
+    ('m4s', 'm4s_repair_zipcode'): 'M4S_REPAIR_ZIPCODE',
+    ('m4s', 'm4s_repair_city'): 'M4S_REPAIIR_CITY',
+    ('m4s', 'm4s_repair_countrycode'): 'M4S_REPAIR_COUNTRYCODE',
+    ('m4s', 'm4s_language_code'): 'M4S_LANGUAGE_CODE',
+    ('m4s', 'm4s_billing_first_name'): 'M4S_BILLING_FIRST_NAME',
+    ('m4s', 'm4s_billing_last_name'): 'M4S_BILLING_LAST_NAME',
+    ('m4s', 'm4s_billing_email'): 'M4S_BILLING_EMAIL',
+    ('m4s', 'm4s_billing_phone'): 'M4S_BILLING_PHONE',
+}
+
+
+def lees_oude_config(pad):
+    cp = configparser.ConfigParser()
+    if not cp.read(pad, encoding='utf-8'):
+        sys.exit(f"Kan {pad} niet lezen.")
+    waarden = {}
+    for (sectie, key), veld in MAPPING.items():
+        if cp.has_option(sectie, key):
+            v = cp.get(sectie, key).strip()
+            if v and v != 'None':
+                waarden[veld] = v
+    # Smartschool-platform zonder https:// en pad
+    if 'SS_API_PLATFORM' in waarden:
+        waarden['SS_API_PLATFORM'] = waarden['SS_API_PLATFORM'].replace('https://', '').replace('http://', '').split('/')[0]
+    return cp, waarden
+
+
+def cmd_importeer(args):
+    import tenancy
+    from config import Config
+    cp, waarden = lees_oude_config(args.config)
+    code = (args.code or cp.get('schoolgegevens', 'school_afkorting', fallback='')).strip().lower()
+    naam = cp.get('schoolgegevens', 'schoolnaam', fallback=code).strip()
+    domein = cp.get('schoolgegevens', 'schooldomein', fallback='').strip().lower()
+    db_naam = args.db or cp.get('database', 'database_name', fallback='').strip()
+    if not code or not domein or not db_naam:
+        sys.exit("Code, schooldomein of databasenaam ontbreekt (gebruik --code / --db).")
+
+    # Eigen databaseserver/gebruiker enkel overnemen als die verschilt van de nieuwe config.ini
+    for key, veld, standaard in [('host', 'DB_HOST', Config.DB_HOST), ('user', 'DB_USER', Config.DB_USER),
+                                 ('password', 'DB_PASSWORD', Config.DB_PASSWORD)]:
+        v = cp.get('database', key, fallback='').strip()
+        if v and v != standaard:
+            waarden[veld] = v
+
+    # Google-serviceaccount
+    sleutel = None
+    kandidaten = [args.google_sleutel] if args.google_sleutel else [
+        cp.get('google', 'location_linux', fallback=''), cp.get('google', 'location', fallback='')]
+    for pad in kandidaten:
+        if pad and os.path.exists(pad):
+            with open(pad, encoding='utf-8') as f:
+                sleutel = json.load(f)
+            print(f"Google-sleutel gelezen uit {pad}")
+            break
+    if not sleutel:
+        print("⚠ Geen Google-sleutel gevonden; upload hem later via /scholen (of gebruik --google-sleutel).")
+
+    tenancy.ensure_schema()
+    bestaand = tenancy.school_op_code(code, ook_inactief=True)
+    if bestaand and not args.overschrijven:
+        sys.exit(f"School '{code}' bestaat al. Gebruik --overschrijven om bij te werken.")
+    tenancy.opslaan(code, naam, domein, '', db_naam, True, waarden, sleutel,
+                    gebruiker='beheer.py', nieuw=not bestaand)
+    print(f"✓ School {naam} ({code}) opgeslagen: domein {domein}, database {db_naam}, "
+          f"{len(waarden)} instellingen{', Google-sleutel' if sleutel else ''}.")
+
+
+def cmd_lijst(args):
+    import tenancy
+    tenancy.ensure_schema()
+    scholen = tenancy.alle_scholen(ook_inactief=True)
+    if not scholen:
+        print("Nog geen scholen.")
+    for s in scholen:
+        print(f"{s.code:<12} {s.naam:<40} {','.join(s.domeinen):<30} db={s.db_naam:<20} "
+              f"{'actief' if s.actief else 'INACTIEF'}{'  google✓' if s.google_sleutel else ''}")
+
+
+def cmd_kopieer(args):
+    import tenancy
+    from blueprints.scholen_bp import kopieer_school_db
+    bron = tenancy.school_op_code(args.bron, ook_inactief=True)
+    if not bron:
+        sys.exit(f"Onbekende school {args.bron}")
+    ok, msg = kopieer_school_db(bron, args.database, {})
+    print(msg)
+    sys.exit(0 if ok else 1)
+
+
+def cmd_nieuwe_schooldatabase(args):
+    from blueprints.scholen_bp import maak_schooldatabase
+    ok, msg = maak_schooldatabase(args.database)
+    print(msg)
+    sys.exit(0 if ok else 1)
+
+
+def cmd_gebruiker(args):
+    import getpass
+    import tenancy
+    import rechten
+    from database import central_query
+    from werkzeug.security import generate_password_hash
+    tenancy.ensure_schema()
+    pw = args.wachtwoord
+    bestaand = rechten.zoek_gebruiker(args.naam)
+    if pw is None and not bestaand:
+        pw = getpass.getpass("Wachtwoord: ")
+    groep = rechten.ADMIN if args.admin else None
+    if bestaand:
+        gid = bestaand['Gebruiker_ID']
+        if pw:
+            central_query("UPDATE Gebruikers SET Passwoordhash = %s WHERE Gebruiker_ID = %s",
+                          (generate_password_hash(pw), gid), commit=True)
+        if args.email:
+            central_query("UPDATE Gebruikers SET Emailadres = %s WHERE Gebruiker_ID = %s",
+                          (args.email.lower(), gid), commit=True)
+        if groep:
+            central_query("UPDATE Gebruikers SET Veiligheidsgroep = %s, Actief = 1 WHERE Gebruiker_ID = %s",
+                          (groep, gid), commit=True)
+        print(f"✓ Gebruiker {bestaand['Gebruikersnaam']} bijgewerkt.")
+    else:
+        central_query("INSERT INTO Gebruikers (Gebruikersnaam, Veiligheidsgroep, Passwoordhash, Emailadres) "
+                      "VALUES (%s, %s, %s, %s)",
+                      (args.naam, groep or rechten.GEBRUIKER, generate_password_hash(pw) if pw else None,
+                       args.email.lower() if args.email else None), commit=True)
+        print(f"✓ Gebruiker {args.naam} aangemaakt ({'Administrator' if groep else 'Gebruiker'}).")
+
+
+def cmd_rechten(args):
+    import tenancy
+    import rechten
+    g = rechten.zoek_gebruiker(args.naam)
+    school = tenancy.school_op_code(args.school, ook_inactief=True)
+    if not g or not school:
+        sys.exit("Onbekende gebruiker of school.")
+    if args.onderdelen:
+        if args.onderdelen == ['alles']:
+            codes = rechten.CODES
+        elif args.onderdelen == ['geen']:
+            codes = []
+        else:
+            onbekend = [c for c in args.onderdelen if c not in rechten.CODES]
+            if onbekend:
+                sys.exit(f"Onbekende onderdelen: {', '.join(onbekend)}\nMogelijk: {', '.join(rechten.CODES)}")
+            codes = args.onderdelen
+        rechten.zet_rechten(g['Gebruiker_ID'], school.id, codes, door='beheer.py')
+    huidig = rechten.rechten_van(g['Gebruiker_ID'], school.id)
+    print(f"{g['Gebruikersnaam']} in {school.naam}:")
+    for code, naam, cat in rechten.ONDERDELEN:
+        print(f"  [{'x' if code in huidig else ' '}] {code:<26} {naam}")
+
+
+def main():
+    p = argparse.ArgumentParser(description="PIVOT beheer")
+    sub = p.add_subparsers(dest='cmd', required=True)
+    sub.add_parser('init')
+    i = sub.add_parser('importeer-config')
+    i.add_argument('config')
+    i.add_argument('--code')
+    i.add_argument('--db')
+    i.add_argument('--google-sleutel')
+    i.add_argument('--overschrijven', action='store_true')
+    sub.add_parser('lijst')
+    k = sub.add_parser('kopieer-school', aliases=['kopieer-schema'])
+    k.add_argument('bron')
+    k.add_argument('database')
+    sub.add_parser('nieuwe-sleutel')
+    n = sub.add_parser('nieuwe-schooldatabase')
+    n.add_argument('database')
+    gb = sub.add_parser('gebruiker')
+    gb.add_argument('naam')
+    gb.add_argument('--wachtwoord')
+    gb.add_argument('--email')
+    gb.add_argument('--admin', action='store_true')
+    r = sub.add_parser('rechten')
+    r.add_argument('naam')
+    r.add_argument('school')
+    r.add_argument('onderdelen', nargs='*')
+    args = p.parse_args()
+
+    if args.cmd == 'nieuwe-sleutel':
+        print(Fernet.generate_key().decode())
+    elif args.cmd == 'init':
+        import tenancy
+        tenancy.ensure_schema()
+        print("✓ Centrale tabellen aangemaakt (of bestonden al).")
+    elif args.cmd == 'importeer-config':
+        cmd_importeer(args)
+    elif args.cmd == 'lijst':
+        cmd_lijst(args)
+    elif args.cmd in ('kopieer-school', 'kopieer-schema'):
+        cmd_kopieer(args)
+    elif args.cmd == 'nieuwe-schooldatabase':
+        cmd_nieuwe_schooldatabase(args)
+    elif args.cmd == 'gebruiker':
+        cmd_gebruiker(args)
+    elif args.cmd == 'rechten':
+        cmd_rechten(args)
+
+
+if __name__ == '__main__':
+    main()
diff --git a/blueprints/__init__.py b/blueprints/__init__.py
new file mode 100644
index 0000000..e69de29
diff --git a/blueprints/admin.py b/blueprints/admin.py
new file mode 100644
index 0000000..83fa8a5
--- /dev/null
+++ b/blueprints/admin.py
@@ -0,0 +1,291 @@
+"""
+Gebruikers & rechten.
+
+- Administrators: alle gebruikers, alle scholen, rol (Administrator/Gebruiker) wijzigen.
+- Gebruikers met het recht 'gebruikersbeheer' in een school: gebruikers aanmaken en hun
+  rechten in DIE school(en) instellen. Ze kunnen geen administrators wijzigen.
+
+Gebruikers staan in de centrale database (één account voor alle scholen); de rechten per
+school in Gebruiker_rechten.
+"""
+from collections import OrderedDict
+
+from flask import Blueprint, render_template, request, session, redirect, url_for, flash
+from werkzeug.security import generate_password_hash
+
+import rechten
+from rechten import ADMIN, GEBRUIKER, VEILIGHEIDSGROEPEN, ONDERDELEN, is_admin
+from database import central_query, central_insert
+from tenancy import alle_scholen, school_op_code
+
+admin_bp = Blueprint('admin', __name__)
+
+MIN_WACHTWOORD = 8
+
+
+# ------------------------------------------------------------------
+# Hulpfuncties
+# ------------------------------------------------------------------
+def beheerbare_scholen():
+    """Scholen waarvan de ingelogde gebruiker de rechten mag instellen."""
+    scholen = alle_scholen(ook_inactief=True)
+    if is_admin():
+        return scholen
+    gid = session.get('gebruiker_id')
+    if not gid:
+        return []
+    rows = central_query(
+        "SELECT r.School_ID FROM Gebruiker_rechten r JOIN Onderdelen o ON o.Onderdeel_ID = r.Onderdeel_ID "
+        "WHERE r.Gebruiker_ID = %s AND o.Code = 'gebruikersbeheer'", (gid,))
+    ids = {r['School_ID'] for r in rows}
+    return [s for s in scholen if s.id in ids]
+
+
+def _toegang():
+    """None als de gebruiker hier mag komen, anders een redirect."""
+    if not session.get('auth') or not session.get('school'):
+        return redirect(url_for('auth.login'))
+    if not is_admin() and not rechten.heeft_recht('gebruikersbeheer'):
+        flash("Je hebt geen rechten om gebruikers te beheren.", "error")
+        return redirect(url_for('main.dashboard'))
+    return None
+
+
+def _aantal_admins(behalve=None):
+    rows = central_query("SELECT COUNT(*) AS n FROM Gebruikers WHERE Veiligheidsgroep = %s AND Actief = 1 "
+                         "AND Gebruiker_ID <> %s", (ADMIN, behalve or 0))
+    return rows[0]['n']
+
+
+def _onderdelen_per_categorie():
+    groepen = OrderedDict()
+    for code, naam, cat in ONDERDELEN:
+        groepen.setdefault(cat, []).append((code, naam))
+    return groepen
+
+
+def _wachtwoord_ok(pw, pw2):
+    if pw != pw2:
+        return "De wachtwoorden komen niet overeen."
+    if len(pw) < MIN_WACHTWOORD:
+        return f"Het wachtwoord moet minstens {MIN_WACHTWOORD} tekens hebben."
+    return None
+
+
+# ------------------------------------------------------------------
+# Overzicht + nieuwe gebruiker
+# ------------------------------------------------------------------
+@admin_bp.route("/settings", methods=["GET"])
+def settings():
+    weg = _toegang()
+    if weg:
+        return weg
+    users = central_query(
+        "SELECT g.Gebruiker_ID, g.Gebruikersnaam, g.Emailadres, g.Veiligheidsgroep, g.Actief, g.Last_login, "
+        "       v.Naam AS Rol "
+        "FROM Gebruikers g JOIN Veiligheidsgroepen v ON v.Veiligheidsgroep = g.Veiligheidsgroep "
+        "ORDER BY g.Veiligheidsgroep, g.Gebruikersnaam")
+    if not is_admin():
+        users = [u for u in users if int(u['Veiligheidsgroep']) != ADMIN]
+
+    # Aantal rechten per gebruiker per school (voor het overzicht)
+    per = {}
+    for r in central_query("SELECT Gebruiker_ID, School_ID, COUNT(*) AS n FROM Gebruiker_rechten "
+                           "GROUP BY Gebruiker_ID, School_ID"):
+        per.setdefault(r['Gebruiker_ID'], {})[r['School_ID']] = r['n']
+    scholen = {s.id: s for s in alle_scholen(ook_inactief=True)}
+    for u in users:
+        u['scholen'] = sorted(((scholen[sid].naam, n) for sid, n in per.get(u['Gebruiker_ID'], {}).items()
+                               if sid in scholen), key=lambda x: (-x[1], x[0].lower()))
+
+    return render_template("admin_accounts.html", users=users, groepen=VEILIGHEIDSGROEPEN,
+                           ADMIN=ADMIN, totaal_onderdelen=len(ONDERDELEN))
+
+
+@admin_bp.route("/gebruiker/nieuw", methods=["POST"])
+def nieuw():
+    weg = _toegang()
+    if weg:
+        return weg
+    naam = (request.form.get('username') or '').strip()
+    email = (request.form.get('email') or '').strip().lower() or None
+    pw = request.form.get('password') or ''
+    pw2 = request.form.get('password_confirm') or ''
+    groep = int(request.form.get('veiligheidsgroep') or GEBRUIKER)
+    if groep not in VEILIGHEIDSGROEPEN or (groep == ADMIN and not is_admin()):
+        groep = GEBRUIKER
+
+    fout = None
+    if not naam:
+        fout = "Vul een gebruikersnaam in."
+    elif not pw and not email:
+        fout = "Geef een wachtwoord, of een e-mailadres om met Google in te loggen."
+    elif pw:
+        fout = _wachtwoord_ok(pw, pw2)
+    if not fout and rechten.zoek_gebruiker(naam):
+        fout = f"Er bestaat al een gebruiker '{naam}'."
+    if not fout and email and rechten.zoek_gebruiker(email):
+        fout = f"Het e-mailadres {email} is al in gebruik."
+    if fout:
+        flash(fout, "error")
+        return redirect(url_for('admin.settings', nieuw=1))
+
+    nieuw_id = central_insert(
+        "INSERT INTO Gebruikers (Gebruikersnaam, Veiligheidsgroep, Passwoordhash, Emailadres, Actief) "
+        "VALUES (%s, %s, %s, %s, 1)",
+        (naam, groep, generate_password_hash(pw) if pw else None, email))
+    rechten.log(actie=f"Gebruiker {naam} aangemaakt")
+    if groep == ADMIN:
+        flash(f"Administrator '{naam}' aangemaakt.", "success")
+        return redirect(url_for('admin.settings'))
+    flash(f"Gebruiker '{naam}' aangemaakt. Vink nu aan wat hij per school mag.", "success")
+    return redirect(url_for('admin.gebruiker_rechten', gid=nieuw_id))
+
+
+# ------------------------------------------------------------------
+# Eén gebruiker: account (gegevens, rol, wachtwoord)
+# ------------------------------------------------------------------
+def _gebruiker_of_terug(gid):
+    """(gebruiker, None) of (None, redirect)."""
+    u = rechten.gebruiker_op_id(gid)
+    if not u:
+        flash("Onbekende gebruiker.", "error")
+        return None, redirect(url_for('admin.settings'))
+    if int(u['Veiligheidsgroep']) == ADMIN and not is_admin():
+        flash("Enkel een administrator kan een administrator wijzigen.", "error")
+        return None, redirect(url_for('admin.settings'))
+    return u, None
+
+
+@admin_bp.route("/gebruiker/<int:gid>", methods=["GET", "POST"])
+def gebruiker(gid):
+    weg = _toegang()
+    if weg:
+        return weg
+    u, weg = _gebruiker_of_terug(gid)
+    if weg:
+        return weg
+    zelf = gid == session.get('gebruiker_id')
+    if request.method == 'POST':
+        return _bewaar_account(u, zelf)
+    return render_template("admin_gebruiker.html", u=u, groepen=VEILIGHEIDSGROEPEN, ADMIN=ADMIN, zelf=zelf,
+                           min_wachtwoord=MIN_WACHTWOORD)
+
+
+# ------------------------------------------------------------------
+# Eén gebruiker: rechten, één school tegelijk
+# ------------------------------------------------------------------
+@admin_bp.route("/gebruiker/<int:gid>/rechten", methods=["GET", "POST"])
+def gebruiker_rechten(gid):
+    weg = _toegang()
+    if weg:
+        return weg
+    u, weg = _gebruiker_of_terug(gid)
+    if weg:
+        return weg
+    scholen = beheerbare_scholen()
+    per_id = {s.id: s for s in scholen}
+    aantallen = {}
+    for r in central_query("SELECT School_ID, COUNT(*) AS n FROM Gebruiker_rechten WHERE Gebruiker_ID = %s "
+                           "GROUP BY School_ID", (gid,)):
+        aantallen[r['School_ID']] = r['n']
+
+    if request.method == 'POST':
+        sid = request.form.get('school_id', type=int)
+        if sid not in per_id:
+            flash("Je mag de rechten in deze school niet instellen.", "error")
+            return redirect(url_for('admin.gebruiker_rechten', gid=gid))
+        codes = [c for c in rechten.CODES if request.form.get(f"r|{c}")]
+        doel = [sid]
+        if request.form.get('ook_alle'):
+            doel = list(per_id)
+        else:
+            doel += [int(x) for x in request.form.getlist('ook') if x.isdigit() and int(x) in per_id]
+        doel = list(dict.fromkeys(doel))
+        door = session.get('user')
+        for school_id in doel:
+            rechten.zet_rechten(gid, school_id, codes, door=door)
+        if len(doel) == 1:
+            rechten.log(actie=f"Rechten van {u['Gebruikersnaam']} in {per_id[sid].naam} gewijzigd")
+            flash(f"Rechten van {u['Gebruikersnaam']} in {per_id[sid].naam} opgeslagen.", "success")
+        else:
+            rechten.log(actie=f"Rechten van {u['Gebruikersnaam']} in {len(doel)} scholen gewijzigd")
+            flash(f"Rechten van {u['Gebruikersnaam']} opgeslagen in {len(doel)} scholen.", "success")
+        return redirect(url_for('admin.gebruiker_rechten', gid=gid, school=sid))
+
+    # Welke school tonen: gevraagd > huidige school > eerste school met rechten > eerste school
+    gekozen = request.args.get('school', type=int)
+    if gekozen not in per_id:
+        huidig = school_op_code(session.get('school') or '')
+        huidig_id = huidig.id if huidig else None
+        if huidig_id in per_id and (aantallen.get(huidig_id) or not aantallen):
+            gekozen = huidig_id
+        else:
+            met = [s.id for s in scholen if aantallen.get(s.id)]
+            gekozen = met[0] if met else (scholen[0].id if scholen else None)
+
+    lijst = sorted(scholen, key=lambda s: (not aantallen.get(s.id), s.naam.lower()))
+    return render_template("admin_rechten.html", u=u, scholen=lijst, gekozen=per_id.get(gekozen),
+                           aantallen=aantallen, huidig=rechten.rechten_van(gid, gekozen) if gekozen else set(),
+                           categorieen=_onderdelen_per_categorie(), ADMIN=ADMIN, totaal=len(ONDERDELEN))
+
+
+def _bewaar_account(u, zelf):
+    gid = u['Gebruiker_ID']
+    email = (request.form.get('email') or '').strip().lower() or None
+    pw = request.form.get('new_password') or ''
+    pw2 = request.form.get('new_password_confirm') or ''
+    actief = 1 if request.form.get('actief') else 0
+    groep = int(u['Veiligheidsgroep'])
+    if is_admin() and request.form.get('veiligheidsgroep'):
+        groep = int(request.form['veiligheidsgroep'])
+        if groep not in VEILIGHEIDSGROEPEN:
+            groep = int(u['Veiligheidsgroep'])
+
+    terug = redirect(url_for('admin.gebruiker', gid=gid))
+    if zelf and (not actief or groep != int(u['Veiligheidsgroep'])):
+        flash("Je kan je eigen rol niet wijzigen en jezelf niet uitschakelen.", "error")
+        return terug
+    if int(u['Veiligheidsgroep']) == ADMIN and (groep != ADMIN or not actief) and _aantal_admins(behalve=gid) == 0:
+        flash("Er moet minstens één actieve administrator overblijven.", "error")
+        return terug
+    if email:
+        ander = rechten.zoek_gebruiker(email)
+        if ander and ander['Gebruiker_ID'] != gid:
+            flash(f"Het e-mailadres {email} is al in gebruik.", "error")
+            return terug
+    if pw:
+        fout = _wachtwoord_ok(pw, pw2)
+        if fout:
+            flash(fout, "error")
+            return terug
+        central_query("UPDATE Gebruikers SET Passwoordhash = %s WHERE Gebruiker_ID = %s",
+                      (generate_password_hash(pw), gid), commit=True)
+
+    central_query("UPDATE Gebruikers SET Emailadres = %s, Veiligheidsgroep = %s, Actief = %s WHERE Gebruiker_ID = %s",
+                  (email, groep, actief, gid), commit=True)
+    rechten.log(actie=f"Account {u['Gebruikersnaam']} gewijzigd")
+    flash(f"Account van {u['Gebruikersnaam']} opgeslagen.", "success")
+    return terug
+
+
+@admin_bp.route("/gebruiker/<int:gid>/verwijderen", methods=["POST"])
+def verwijderen(gid):
+    weg = _toegang()
+    if weg:
+        return weg
+    u = rechten.gebruiker_op_id(gid)
+    if not u:
+        return redirect(url_for('admin.settings'))
+    if not is_admin():
+        flash("Enkel een administrator kan gebruikers verwijderen.", "error")
+    elif gid == session.get('gebruiker_id'):
+        flash("Je kan jezelf niet verwijderen.", "error")
+    elif int(u['Veiligheidsgroep']) == ADMIN and _aantal_admins(behalve=gid) == 0:
+        flash("Er moet minstens één actieve administrator overblijven.", "error")
+    else:
+        central_query("DELETE FROM Gebruikers WHERE Gebruiker_ID = %s", (gid,), commit=True)
+        rechten.log(actie=f"Gebruiker {u['Gebruikersnaam']} verwijderd")
+        flash(f"Gebruiker '{u['Gebruikersnaam']}' is verwijderd.", "success")
+        return redirect(url_for('admin.settings'))
+    return redirect(url_for('admin.gebruiker', gid=gid))
diff --git a/blueprints/afwezigheden_bp.py b/blueprints/afwezigheden_bp.py
new file mode 100644
index 0000000..d4225e5
--- /dev/null
+++ b/blueprints/afwezigheden_bp.py
@@ -0,0 +1,157 @@
+import csv
+import io
+from datetime import date, datetime
+from flask import Blueprint, render_template, request, redirect, url_for, flash, jsonify, Response
+from tenancy import huidige_school, per_school
+from blueprints.auth import login_required
+from rechten import recht_vereist
+from services.afwezigheden_service import AfwezighedenService, schooljaar_start
+
+afwezigheden_bp = Blueprint('afwezigheden', __name__)
+service = per_school(AfwezighedenService)
+
+_tables_ready = set()   # scholen waarvoor de tabellen al gecontroleerd zijn
+
+
+def _ensure_tables():
+    if huidige_school().code not in _tables_ready:
+        try:
+            service.ensure_tables()
+            _tables_ready.add(huidige_school().code)
+        except Exception as e:
+            flash(f"Kon de afwezigheidstabellen niet aanmaken: {e}", "error")
+
+
+def _filters():
+    """Leest de filters uit de URL, met het huidige schooljaar als standaard."""
+    def parse(v, standaard):
+        try:
+            return datetime.strptime(v, '%Y-%m-%d').date() if v else standaard
+        except ValueError:
+            return standaard
+    van = parse(request.args.get('van'), schooljaar_start())
+    tot = parse(request.args.get('tot'), date.today())
+    if van > tot:
+        van, tot = tot, van
+    code = (request.args.get('code') or '').upper() or None
+    if code and code not in service.codes:
+        code = None
+    try:
+        minimum = max(1, int(request.args.get('min') or 1))
+    except ValueError:
+        minimum = 1
+    return dict(van=van, tot=tot, code=code, zoek=(request.args.get('zoek') or '').strip(), minimum=minimum)
+
+
+#---------------------------------------------
+# Overzicht
+#---------------------------------------------
+@afwezigheden_bp.route('/', methods=['GET'])
+@login_required
+@recht_vereist('afwezigheden')
+def overzicht():
+    _ensure_tables()
+    f = _filters()
+    rows, fout, laatste = [], None, {'m': None, 'd': None}
+    try:
+        rows = service.overzicht(f['van'], f['tot'], f['code'], f['zoek'], f['minimum'])
+        laatste = service.laatste_sync()
+    except Exception as e:
+        fout = f"Gegevens konden niet gelezen worden: {e}"
+
+    totaal_halve_dagen = sum(r['Halve_dagen'] for r in rows)
+    return render_template('afwezigheden.html', rows=rows, f=f, fout=fout, laatste=laatste,
+                           codes=service.codes, status=service.status,
+                           totaal_halve_dagen=totaal_halve_dagen)
+
+
+#---------------------------------------------
+# Detail per leerling (JSON, voor het uitklappen in de tabel)
+#---------------------------------------------
+@afwezigheden_bp.route('/leerling/<internnummer>.json', methods=['GET'])
+@login_required
+@recht_vereist('afwezigheden')
+def leerling(internnummer):
+    f = _filters()
+    dagen = service.detail(internnummer, f['van'], f['tot'], f['code'])
+    return jsonify([{'datum': d['Datum'].strftime('%d-%m-%Y'),
+                     'weekdag': ['ma', 'di', 'wo', 'do', 'vr', 'za', 'zo'][d['Datum'].weekday()],
+                     'vm': d['VM'], 'nm': d['NM']} for d in dagen])
+
+
+#---------------------------------------------
+# Synchronisatie
+#---------------------------------------------
+@afwezigheden_bp.route('/sync', methods=['POST'])
+@login_required
+@recht_vereist('afwezigheden', 'laatkomers')
+def sync():
+    if not huidige_school().heeft('SS_API_PLATFORM', 'SS_API_PW'):
+        flash("Smartschool is nog niet ingesteld voor deze school: vul het platform (bv. school.smartschool.be) "
+              "en het webservice-wachtwoord in via 🔌 Koppelingen van deze school.", "error")
+        return redirect(url_for('afwezigheden.laatkomers' if request.form.get('terug') == 'laatkomers'
+                                else 'afwezigheden.overzicht'))
+    _ensure_tables()
+    volledig = request.form.get('volledig') == '1'
+    if service.sync_in_background(volledig=volledig):
+        flash("Synchronisatie met Smartschool gestart. Dit kan enkele minuten duren.", "info")
+    else:
+        flash("Er loopt al een synchronisatie.", "warning")
+    if request.form.get('terug') == 'laatkomers':
+        return redirect(url_for('afwezigheden.laatkomers', **{k: v for k, v in request.args.items()}))
+    return redirect(url_for('afwezigheden.overzicht', **{k: v for k, v in request.args.items()}))
+
+
+@afwezigheden_bp.route('/status.json', methods=['GET'])
+@login_required
+@recht_vereist('afwezigheden', 'laatkomers')
+def status():
+    s = service.status
+    return jsonify(bezig=s['bezig'], voortgang=s['voortgang'], totaal=s['totaal'],
+                   resultaat=s['laatste_resultaat'], fout=s['laatste_fout'])
+
+
+#---------------------------------------------
+# Export
+#---------------------------------------------
+@afwezigheden_bp.route('/export.csv', methods=['GET'])
+@login_required
+@recht_vereist('afwezigheden')
+def export_csv():
+    f = _filters()
+    rows = service.overzicht(f['van'], f['tot'], f['code'], f['zoek'], f['minimum'])
+    buf = io.StringIO()
+    w = csv.writer(buf, delimiter=';')
+    w.writerow(['Internnummer', 'Voornaam', 'Naam', 'Gebruikersnaam', 'Halve dagen', 'Dagen',
+                'Eerste', 'Laatste', 'Datums'])
+    for r in rows:
+        dagen = service.detail(r['Internnummer'], f['van'], f['tot'], f['code'])
+        datums = ', '.join(d['Datum'].strftime('%d/%m') + ('' if d['VM'] and d['NM'] else (' VM' if d['VM'] else ' NM'))
+                           for d in sorted(dagen, key=lambda x: x['Datum']))
+        w.writerow([r['Internnummer'], r['Voornaam'] or '', r['Naam'] or '', r['Gebruikersnaam'] or '',
+                    r['Halve_dagen'], r['Dagen'], r['Eerste'].strftime('%d-%m-%Y'),
+                    r['Laatste'].strftime('%d-%m-%Y'), datums])
+    naam = f"afwezigheden_{f['code'] or '-'.join(service.codes)}_{f['van']:%Y%m%d}-{f['tot']:%Y%m%d}.csv"
+    return Response('' + buf.getvalue(), mimetype='text/csv',
+                    headers={'Content-Disposition': f'attachment; filename={naam}'})
+
+
+#---------------------------------------------
+# Laatkomers
+#---------------------------------------------
+@afwezigheden_bp.route('/laatkomers', methods=['GET'])
+@login_required
+@recht_vereist('laatkomers')
+def laatkomers():
+    """Alle leerlingen die dit schooljaar (of in de gekozen periode) te laat waren."""
+    _ensure_tables()
+    f = _filters()
+    rows, fout, laatste = [], None, {'m': None, 'd': None}
+    try:
+        rows = service.laatkomers(f['van'], f['tot'])
+        laatste = service.laatste_sync()
+    except Exception as e:
+        fout = f"Gegevens konden niet gelezen worden: {e}"
+    return render_template('laatkomers.html', rows=rows, f=f, fout=fout, laatste=laatste,
+                           codes=service.laat_codes, status=service.status,
+                           totaal=sum(r['Aantal'] for r in rows))
diff --git a/blueprints/auth.py b/blueprints/auth.py
new file mode 100644
index 0000000..bb48532
--- /dev/null
+++ b/blueprints/auth.py
@@ -0,0 +1,326 @@
+from flask import Blueprint, render_template, request, session, redirect, url_for, flash, current_app, make_response
+from werkzeug.security import check_password_hash
+import time
+import functools
+from authlib.integrations.flask_client import OAuth
+from config import Config
+from tenancy import (alle_scholen, school_op_code, school_voor_email, scholen_voor_email, school_voor_host, in_school,
+                     huidige_school)
+import rechten
+from rechten import recht_vereist, ADMIN, GEBRUIKER
+
+auth_bp = Blueprint('auth', __name__)
+oauth = OAuth()
+
+SCHOOL_COOKIE = 'pivot_school'     # onthoudt de laatst gekozen school op dit toestel
+GOOGLE_METADATA = 'https://accounts.google.com/.well-known/openid-configuration'
+
+
+def _google_client(school=None):
+    """
+    Google-login client: die van de school als die een eigen OAuth-client heeft,
+    anders de gedeelde client uit config.ini. Geeft (naam, client) of (None, None).
+    """
+    if school and school.heeft('GOOGLE_SSO_CLIENTID', 'GOOGLE_SSO_CLIENTSECRET'):
+        naam = f"google_{school.code}_{''.join(c for c in school.versie if c.isdigit())}"
+        cid, secret = school.get('GOOGLE_SSO_CLIENTID'), school.get('GOOGLE_SSO_CLIENTSECRET')
+    elif Config.SSO_CLIENT_ID and Config.SSO_CLIENT_SECRET:
+        naam, cid, secret = 'google', Config.SSO_CLIENT_ID, Config.SSO_CLIENT_SECRET
+    else:
+        return None, None
+    client = oauth.create_client(naam)
+    if client is None:
+        client = oauth.register(name=naam, client_id=cid, client_secret=secret,
+                                server_metadata_url=GOOGLE_METADATA,
+                                client_kwargs={'scope': 'openid email profile'})
+    return naam, client
+
+
+def gekozen_school():
+    """School die vastligt via de hostnaam, of anders de laatst gekozen school (cookie)."""
+    return school_voor_host(request.host) or school_op_code(request.cookies.get(SCHOOL_COOKIE))
+
+
+def _nummer(school):
+    """Sorteersleutel: laagste officiële instellingsnummer eerst; scholen zonder nummer achteraan."""
+    nr = ''.join(c for c in str(school.get('INSTELLINGSNUMMER') or '') if c.isdigit())
+    return (0, int(nr), school.naam.lower()) if nr else (1, 0, school.naam.lower())
+
+
+def standaard_school(scholen=None):
+    """De school met het laagste instellingsnummer (voor wie nog nooit aangemeld was)."""
+    scholen = alle_scholen() if scholen is None else list(scholen)
+    return min(scholen, key=_nummer) if scholen else None
+
+
+def kies_school(gebruiker=None, toegang=None, ook=()):
+    """
+    De school die na het aanmelden geladen wordt (het aanmeldscherm vraagt geen school meer):
+    1) de laatst actieve school van de gebruiker,
+    2) voor een nieuwe gebruiker: de school van zijn e-maildomein (+ eventueel de scholen in `ook`),
+    3) de laatst gekozen school op dit toestel (cookie), 4) als laatste redmiddel: het laagste instellingsnummer.
+    Telkens enkel scholen waarvoor toegang(school) True is (als `toegang` gegeven is).
+    """
+    ok = toegang or (lambda s: True)
+    domein = _volgens_domein((gebruiker or {}).get('Emailadres'))
+    for s in [school_op_code((gebruiker or {}).get('Laatste_school')), *domein, *ook,
+              school_op_code(request.cookies.get(SCHOOL_COOKIE))]:
+        if s and ok(s):
+            return s
+    return standaard_school(s for s in alle_scholen() if ok(s))
+
+
+def _volgens_domein(email):
+    """Scholen met het e-maildomein (een domein kan door meerdere scholen gedeeld worden): de laatst gekozen
+    school op dit toestel eerst, dan op instellingsnummer."""
+    lijst = sorted(scholen_voor_email(email), key=_nummer)
+    cookie = request.cookies.get(SCHOOL_COOKIE)
+    return sorted(lijst, key=lambda s: s.code != cookie)
+
+
+def is_superbeheerder(email):
+    return (email or '').lower() in Config.SUPERBEHEERDERS
+
+
+def _login_ok(school, user, naam, groep, superbeheerder=False, gebruiker=None):
+    """
+    Zet de sessie. `gebruiker` is de rij uit de centrale tabel Gebruikers (of None voor een
+    superbeheerder uit config.ini of een leerkracht zonder PIVOT-account).
+    Administrators (Veiligheidsgroep 1) zijn superbeheerder: alle rechten in alle scholen.
+    """
+    admin = bool(gebruiker and int(gebruiker['Veiligheidsgroep']) == ADMIN)
+    session.clear()
+    session["auth"] = True
+    session["user"] = user
+    session["naam"] = naam
+    session["gebruiker_id"] = gebruiker['Gebruiker_ID'] if gebruiker else None
+    session["admin"] = admin or bool(superbeheerder)
+    session["superbeheerder"] = admin or bool(superbeheerder)
+    if groep is None and gebruiker:
+        groep = ADMIN if session["admin"] else GEBRUIKER
+    session["security_group"] = int(groep) if groep is not None else None
+    session["school"] = school.code if school else None
+    if gebruiker:
+        rechten.registreer_login(gebruiker['Gebruiker_ID'], request.remote_addr)
+        if school:
+            rechten.bewaar_laatste_school(gebruiker['Gebruiker_ID'], school.code)
+
+
+def _onthoud_school(response, school):
+    if school:
+        response.set_cookie(SCHOOL_COOKIE, school.code, max_age=365 * 24 * 3600, samesite='Lax',
+                            secure=request.is_secure, httponly=True)
+    return response
+
+
+#----------------------------------------------
+# BRUTE FORCE BEVEILIGING
+#----------------------------------------------
+attempts = {}
+
+def client_ip():
+    return request.remote_addr
+
+def is_locked():
+    ip = client_ip()
+    if ip in attempts and attempts[ip]['count'] >= 5:
+        elapsed = time.time() - attempts[ip]['last_time']
+        if elapsed < 60:
+            return True, int(60 - elapsed)
+        else:
+            attempts.pop(ip)
+    return False, 0
+
+def record_failure():
+    ip = client_ip()
+    if ip not in attempts:
+        attempts[ip] = {'count': 1, 'last_time': time.time()}
+    else:
+        attempts[ip]['count'] += 1
+        attempts[ip]['last_time'] = time.time()
+
+#----------------------------------------------
+# --- GOOGLE SSO ROUTES ---
+#----------------------------------------------
+
+@auth_bp.route('/google-login')
+def google_login():
+    """Start het Google inlogproces. De school volgt uit de hostnaam, ?school=code of het e-maildomein."""
+    vast = school_voor_host(request.host) or school_op_code(request.args.get('school'))
+    # Zonder vaste school: de Google-client van de laatst gekozen school op dit toestel (of de standaardschool).
+    # Welke school na het aanmelden geladen wordt, beslist de callback.
+    school = vast or school_op_code(request.cookies.get(SCHOOL_COOKIE)) or standaard_school()
+    naam, client = _google_client(school)
+    if not client:
+        flash("Inloggen met Google is (nog) niet ingesteld.", "error")
+        return redirect(url_for('auth.login'))
+    session['sso'] = {'client': naam, 'school': vast.code if vast else ''}
+    extra = {'prompt': 'select_account'}
+    if vast and len(vast.domeinen) == 1:
+        extra['hd'] = school.domein          # Google toont enkel accounts van dit domein
+    redirect_uri = url_for('auth.callback', _external=True)
+    return client.authorize_redirect(redirect_uri, **extra)
+
+
+@auth_bp.route('/callback')
+def callback():
+    """Verwerkt het antwoord van Google en bepaalt de school op basis van het e-maildomein."""
+    sso = session.pop('sso', None) or {}
+    try:
+        client = oauth.create_client(sso.get('client') or 'google')
+        token = client.authorize_access_token()
+        user_info = token.get('userinfo') or {}
+    except Exception as e:
+        flash("Fout bij ophalen van Google gegevens.", "error")
+        return redirect(url_for('auth.login'))
+
+    email = (user_info.get('email') or '').lower()
+    if not email or user_info.get('email_verified') is False:
+        flash("Google gaf geen geverifieerd e-mailadres terug.", "error")
+        return redirect(url_for('auth.login'))
+    naam = user_info.get('name') or email
+    super_ = is_superbeheerder(email)
+
+    # Geregistreerde PIVOT-gebruiker (centrale tabel Gebruikers)?
+    try:
+        gebruiker = rechten.zoek_gebruiker(email)
+    except Exception:
+        flash("De centrale PIVOT-database is niet bereikbaar.", "error")
+        return redirect(url_for('auth.login'))
+    if gebruiker and not gebruiker['Actief']:
+        gebruiker = None
+
+    def heeft_toegang(s):
+        return bool(gebruiker) and (super_ or rechten.mag_in_school(gebruiker, s))
+
+    gekozen = school_op_code(sso.get('school'))          # enkel als de school vastligt (hostnaam)
+    domeinscholen = _volgens_domein(email)                # meerdere scholen kunnen hetzelfde domein hebben
+    volgens_domein = next((s for s in domeinscholen if heeft_toegang(s)), None) or \
+        (domeinscholen[0] if domeinscholen else None)
+    if gekozen:
+        school = gekozen
+    elif gebruiker and heeft_toegang_ergens(gebruiker, super_):
+        # Laatst actieve school → school van het e-maildomein → laatst gekozen op dit toestel → laagste nummer
+        school = kies_school(gebruiker, heeft_toegang, ook=domeinscholen)
+    elif super_:
+        school = kies_school(None, None, ook=domeinscholen)
+    else:
+        school = volgens_domein
+
+    if gekozen and gekozen not in domeinscholen and not super_ and not heeft_toegang(gekozen):
+        flash(f"{email} hoort niet bij {gekozen.naam}.", "error")
+        return redirect(url_for('auth.login'))
+
+    if school is None:
+        if super_ or (gebruiker and int(gebruiker['Veiligheidsgroep']) == ADMIN):
+            # Superbeheerder van wie het domein bij geen school hoort: meteen naar scholenbeheer
+            _login_ok(None, email, naam, None, superbeheerder=True, gebruiker=gebruiker)
+            flash("Ingelogd als superbeheerder. Kies of maak een school.", "success")
+            return redirect(url_for('scholen.overzicht'))
+        flash(f"Het domein van {email} hoort bij geen enkele school in PIVOT.", "error")
+        return redirect(url_for('auth.login'))
+
+    # 1) PIVOT-gebruiker met rechten in deze school
+    if heeft_toegang(school):
+        _login_ok(school, gebruiker['Gebruikersnaam'], naam, None, super_, gebruiker=gebruiker)
+        flash(f"Succesvol ingelogd via Google: {gebruiker['Gebruikersnaam']}", "success")
+        return _onthoud_school(redirect(url_for("main.dashboard")), school)
+
+    # 2) Superbeheerder van de scholengroep (config.ini) → beheerder in elke school
+    if super_:
+        _login_ok(school, email, naam, ADMIN, True)
+        return _onthoud_school(redirect(url_for("main.dashboard")), school)
+
+    # 3) Personeelslid van de school (personeels-OU's) → beperkte toegang tot de personeelsmodule.
+    #    Delen meerdere scholen het domein, dan de eerste school waar hij personeelslid is.
+    from services.personeel_service import is_personeelslid, LEERKRACHT_GROEP
+    for kandidaat in [school] + [s for s in domeinscholen if s is not school and not gekozen]:
+        with in_school(kandidaat):
+            if is_personeelslid(email):
+                _login_ok(kandidaat, email, naam, LEERKRACHT_GROEP)
+                return _onthoud_school(redirect(url_for("personeel.mijn")), kandidaat)
+
+    flash(f"Toegang geweigerd: {email} is niet geregistreerd in PIVOT van {school.naam}.", "error")
+    return redirect(url_for('auth.login'))
+
+def heeft_toegang_ergens(gebruiker, super_=False):
+    return bool(gebruiker) and (super_ or any(rechten.mag_in_school(gebruiker, s) for s in alle_scholen()))
+
+
+#----------------------------------------------
+# --- HANDMATIGE LOGIN/LOGOUT ---
+#----------------------------------------------
+
+def _login_pagina(school=None):
+    vast = school_voor_host(request.host)
+    return render_template("pin.html",
+                           scholen=alle_scholen(),
+                           gekozen=vast or school or gekozen_school(),
+                           school_vast=bool(vast),
+                           google_aan=bool(Config.SSO_CLIENT_ID) or any(
+                               s.heeft('GOOGLE_SSO_CLIENTID') for s in alle_scholen()))
+
+
+@auth_bp.route("/login", methods=["GET", "POST"])
+def login():
+    locked, wait_time = is_locked()
+    if locked:
+        flash(f"Te veel pogingen. Probeer opnieuw over {wait_time} seconden.", "error")
+        return _login_pagina()
+
+    if request.method == "POST":
+        entered_username = request.form.get("username", "").strip()
+        entered_password = request.form.get("password", "")
+        school = school_voor_host(request.host)      # ligt de school vast via de hostnaam?
+
+        if not entered_username or not entered_password:
+            record_failure()
+            flash("Vul zowel gebruikersnaam als wachtwoord in.", "error")
+            return _login_pagina(school)
+
+        try:
+            gebruiker = rechten.zoek_gebruiker(entered_username)
+        except Exception:
+            flash("De centrale PIVOT-database is niet bereikbaar.", "error")
+            return _login_pagina(school)
+
+        if (gebruiker and gebruiker['Actief'] and gebruiker['Passwoordhash']
+                and check_password_hash(gebruiker['Passwoordhash'], entered_password)):
+            attempts.pop(client_ip(), None)
+            if school and not rechten.mag_in_school(gebruiker, school):
+                flash(f"Je hebt geen rechten in {school.naam}. Vraag een administrator om toegang.", "error")
+                return _login_pagina(school)
+            # Geen school gevraagd: laatst actieve school, anders de school van het e-maildomein
+            school = school or kies_school(gebruiker, lambda s: rechten.mag_in_school(gebruiker, s))
+            if not school:
+                flash("Je hebt nog geen rechten in een school. Vraag een administrator om toegang.", "error")
+                return _login_pagina()
+            _login_ok(school, gebruiker['Gebruikersnaam'], gebruiker['Gebruikersnaam'], None, gebruiker=gebruiker)
+            flash(f"Welkom terug, {gebruiker['Gebruikersnaam']}!", "success")
+            return _onthoud_school(redirect(url_for("main.dashboard")), school)
+
+        record_failure()
+        flash("Ongeldige inloggegevens.", "error")
+        return _login_pagina(school)
+
+    return _login_pagina()
+
+@auth_bp.route('/logout')
+def logout():
+    session.clear()
+    flash("Je bent nu uitgelogd.", "success")
+    return redirect(url_for('auth.login'))
+
+#----------------------------------------------
+# --- DECORATORS ---
+#----------------------------------------------
+
+def login_required(view_func):
+    @functools.wraps(view_func)
+    def wrapped_view(*args, **kwargs):
+        if not session.get("auth") or not session.get("school"):
+            return redirect(url_for("auth.login"))
+        return view_func(*args, **kwargs)
+    return wrapped_view
+
+# Rechten per school: zie rechten.py (recht_vereist, heeft_recht, admin_vereist)
diff --git a/blueprints/basisonderwijs_bp.py b/blueprints/basisonderwijs_bp.py
new file mode 100644
index 0000000..b0ef269
--- /dev/null
+++ b/blueprints/basisonderwijs_bp.py
@@ -0,0 +1,67 @@
+"""Basisonderwijs › Bingel: leerlingenlijst uit Informat als Excel voor de import in Bingel."""
+import io
+from datetime import date
+
+from flask import Blueprint, render_template, request, Response, redirect, url_for, flash
+
+from blueprints.auth import login_required
+from rechten import recht_vereist
+from services import bingel_service as bs
+from tenancy import huidige_school
+
+basisonderwijs_bp = Blueprint('basisonderwijs', __name__)
+KOLOMMEN = ['Klas', 'Voornaam', 'Familienaam', 'Wachtwoord', 'Klasnummer', 'Geslacht']
+
+
+@basisonderwijs_bp.route('/bingel', methods=['GET'])
+@login_required
+@recht_vereist('bingel')
+def bingel():
+    rijen, voorbeeld, fout, waarschuwing = [], {}, None, None
+    try:
+        rijen, voorbeeld, waarschuwing = bs.leerlingen(vernieuw=bool(request.args.get('vernieuw')))
+    except bs.BingelFout as e:
+        fout = str(e)
+    except Exception as e:
+        fout = f"Leerlingen ophalen uit Informat mislukt: {e}"
+    if request.args.get('vernieuw'):
+        return redirect(url_for('basisonderwijs.bingel'))
+    klassen = sorted({r['klas'] for r in rijen}, key=str.lower)
+    return render_template('bingel.html', rijen=rijen, klassen=klassen, voorbeeld=voorbeeld, fout=fout, waarschuwing=waarschuwing,
+                           kolommen=KOLOMMEN, school_naam=huidige_school().naam,
+                           zonder_klas=sum(1 for r in rijen if not r['klas']),
+                           zonder_geslacht=sum(1 for r in rijen if r['geslacht'] not in ('M', 'V')))
+
+
+@basisonderwijs_bp.route('/bingel/export.xlsx', methods=['GET'])
+@login_required
+@recht_vereist('bingel')
+def bingel_export():
+    from openpyxl import Workbook
+    from openpyxl.styles import Font
+    try:
+        rijen, _, _ = bs.leerlingen()
+    except Exception as e:
+        flash(str(e), "error")
+        return redirect(url_for('basisonderwijs.bingel'))
+    gekozen = request.args.getlist('klas')          # aangevinkte klassen (niets = alle)
+    if gekozen:
+        rijen = [r for r in rijen if r['klas'] in gekozen]
+    klas = gekozen[0] if len(gekozen) == 1 else ''
+    wb = Workbook()
+    ws = wb.active
+    ws.title = 'Leerlingen'
+    ws.append(KOLOMMEN)
+    for c in ws[1]:
+        c.font = Font(bold=True)
+    for r in rijen:
+        ws.append([r['klas'], r['voornaam'], r['naam'], '', r['klasnummer'], r['geslacht']])
+    for kol, breedte in zip('ABCDEF', (12, 18, 22, 14, 11, 10)):
+        ws.column_dimensions[kol].width = breedte
+    ws.freeze_panes = 'A2'
+    buf = io.BytesIO()
+    wb.save(buf)
+    deel = ''.join(c if c.isalnum() else '_' for c in klas) + '_' if klas else ''
+    return Response(buf.getvalue(), mimetype='application/vnd.openxmlformats-officedocument.spreadsheetml.sheet',
+                    headers={'Content-Disposition': f"attachment; filename=Bingel_{huidige_school().code}_{deel}"
+                                                    f"{date.today():%Y%m%d}.xlsx"})
diff --git a/blueprints/bugreport_bp.py b/blueprints/bugreport_bp.py
new file mode 100644
index 0000000..2069b76
--- /dev/null
+++ b/blueprints/bugreport_bp.py
@@ -0,0 +1,74 @@
+from datetime import datetime
+from flask import Blueprint, render_template, request, redirect, url_for, flash, session
+from database import central_query
+from blueprints.auth import login_required
+from rechten import recht_vereist
+
+bugreport_bp = Blueprint('bugreport', __name__)
+
+@bugreport_bp.route('/', methods=['GET'])
+@login_required
+def bugreport():
+    """Toont het bugreport formulier."""
+
+    if 'security_group' not in session:
+        flash('Je moet eerst inloggen om een bug te rapporteren.', 'error')
+        return redirect(url_for('auth.login'))
+        
+    return render_template('bugreport.html')
+
+
+@bugreport_bp.route('/submit', methods=['POST'])
+@login_required
+def bugreport_submit():
+    """Verwerkt het ingezonden bugreport en slaat het op in de database."""
+
+
+    # Gegevens ophalen uit het HTML formulier
+    tijdstip_str = request.form.get('tijdstip')
+    omschrijving = request.form.get('omschrijving')
+    foutcode = request.form.get('foutcode') # Kan leeg zijn (None of lege string)
+    
+    # Automatische gegevens
+    gebruiker_id = session["user"]  # Of session.get('email'), afhankelijk van je login-systeem
+    status = 'Nieuw'
+
+    # Validatie (html5 required is een back-up, server-side validatie is veiliger)
+    if not tijdstip_str or not omschrijving:
+        flash('Tijdstip en omschrijving zijn verplichte velden!', 'error')
+        return redirect(url_for('bugreport.bugreport_page'))
+
+    try:
+        # Converteren van datetime-local string (YYYY-MM-DDTHH:MM) naar MySQL formaat
+        tijdstip = datetime.strptime(tijdstip_str, '%Y-%m-%dT%H:%M')
+    except ValueError:
+        flash('Ongeldig datum- of tijdformaat ontvangen.', 'error')
+        return redirect(url_for('bugreport.bugreport_page'))
+
+    # SQL query om de bug op te slaan
+    # Pas de tabelnaam ('bugs') en kolomnamen aan naar jouw exacte database-schema
+    # Centrale database: Bugs (Bugstatus_ID 1 = Nieuw)
+    from tenancy import huidige_school
+    school = huidige_school(verplicht=False)
+    query = """
+        INSERT INTO Bugs (Timestamp, Omschrijving, Foutcode, Bugstatus_ID, Gebruiker_ID, Gebruikersnaam, School_ID)
+        VALUES (%s, %s, %s, 1, %s, %s, %s)
+    """
+    params = (tijdstip, omschrijving, foutcode or None, session.get('gebruiker_id'), gebruiker_id,
+              school.id if school else None)
+
+    try:
+        # Voer de query uit met commit=True om de data op te slaan
+        central_query(query, params, commit=True)
+        
+        # Succesmelding sturen en doorverwijzen naar het dashboard
+        flash('Je bugreport is succesvol ingediend! Bedankt voor je feedback.', 'success')
+        return redirect(url_for('main.dashboard'))
+        
+    except Exception as e:
+        # Log de fout eventueel in de console voor debugging
+        print(f"Database error tijdens bugreport: {e}")
+        
+        # Foutmelding tonen aan de gebruiker
+        flash('Er ging iets mis bij het opslaan in de database. Probeer het later opnieuw.', 'error')
+        return redirect(url_for('bugreport.bugreport_page'))
\ No newline at end of file
diff --git a/blueprints/bugreport_overzicht_bp.py b/blueprints/bugreport_overzicht_bp.py
new file mode 100644
index 0000000..2dc1539
--- /dev/null
+++ b/blueprints/bugreport_overzicht_bp.py
@@ -0,0 +1,62 @@
+from flask import Blueprint, render_template, request, session, redirect, url_for, flash, jsonify
+from database import central_query
+from blueprints.auth import login_required
+from rechten import recht_vereist
+
+
+
+# We noemen de blueprint 'devices'
+bugreport_overzicht_bp = Blueprint('bugreport_overzicht', __name__)
+
+#-------------------------------------------------
+# --- ROUTE TOESTELLEN (Inventaris Toestellen) ---
+#-------------------------------------------------
+@bugreport_overzicht_bp.route("/", methods=["GET", "POST"])
+@login_required
+@recht_vereist('bugs_bekijken', 'bugs_beheren')
+def bugreport_overzicht():
+    query = request.form.get("query", "") if request.method == "POST" else request.args.get("query", "")
+    message = None
+    
+    search_term = f"%{query}%"
+    # Bugs staan in de centrale database (gelden voor PIVOT, niet voor één school)
+    sql = """
+    SELECT * FROM (
+        SELECT b.Bug_ID, b.Gebruikersnaam AS Gebruiker, b.Timestamp AS Datum, b.Omschrijving, b.Foutcode,
+               st.Omschrijving AS Status, sc.School_naam AS School
+        FROM Bugs b
+        JOIN Status st ON st.Bugstatus_ID = b.Bugstatus_ID
+        LEFT JOIN Scholen sc ON sc.School_ID = b.School_ID
+    ) x
+    WHERE CONCAT_WS(' ', Bug_ID, Gebruiker, Datum, Omschrijving, Foutcode, Status, School) LIKE %s
+    ORDER BY Bug_ID DESC
+    """
+    
+    results = central_query(sql, (search_term,))
+    
+
+    if query and not results:
+        message = f"Geen resultaten gevonden voor '{query}'."
+    elif not results:
+        message = "Er zijn momenteel geen bugreports."
+
+    return render_template("bugreport_overzicht.html", results=results, query=query, message=message)
+
+#---------------------------------
+# --- STATUS UPDATES ---
+#---------------------------------
+@bugreport_overzicht_bp.route("/update_bugreport", methods=["POST"])
+@login_required
+@recht_vereist('bugs_beheren')
+def bugreport_wijzig_status():
+    Bug_ID = request.form.get("Bug_ID")
+    new_status = request.form.get("new_status")
+    query = request.form.get("query", "")
+    
+    if new_status in ["Nieuw", "In behandeling", "Fixed"]:
+        central_query("UPDATE Bugs SET Bugstatus_ID = (SELECT Bugstatus_ID FROM Status WHERE Omschrijving = %s) "
+                      "WHERE Bug_ID = %s", (new_status, Bug_ID), commit=True)
+        flash(f"Status van {Bug_ID} gewijzigd naar {new_status}", "success")
+    
+    return redirect(url_for("bugreport_overzicht.bugreport_overzicht", query=query))
+
diff --git a/blueprints/co2_sensor.py b/blueprints/co2_sensor.py
new file mode 100644
index 0000000..fee17b6
--- /dev/null
+++ b/blueprints/co2_sensor.py
@@ -0,0 +1,125 @@
+from flask import Blueprint, render_template, redirect, url_for, flash, jsonify, request
+from services.co2_service import CO2Scanner
+from database import execute_query
+from blueprints.auth import login_required
+from rechten import recht_vereist
+from tenancy import per_school
+
+co2_sensor_bp = Blueprint('co2_sensor', __name__)
+scanner = per_school(CO2Scanner)  # één scanner per school
+
+#----------------------------------------------
+# Route voor het CO2 dashboard
+#----------------------------------------------
+
+@co2_sensor_bp.route('/dashboard')
+@login_required
+@recht_vereist('co2')
+def dashboard():
+    # haalt de meest recente record voor elke ruimte
+    query = """
+        SELECT lk.Naam AS lokaal, m.ppm, m.Timestamp AS timestamp
+        FROM CO2_Metingen m
+        JOIN Lokalen lk ON lk.Lokaal_ID = m.Lokaal_ID
+        WHERE m.Meting_ID IN (SELECT MAX(Meting_ID) FROM CO2_Metingen GROUP BY Lokaal_ID)
+        ORDER BY lk.Naam ASC
+    """
+    sensors = execute_query(query)
+    return render_template('CO2_sensor.html', sensors=sensors)
+
+#---------------------------------------------
+# Routes en Logica
+#----------------------------------------------
+# Verwijderd record ouder dan 7 dagen uit DB
+def perform_cleanup():
+    """Verwijder data ouder dan 7 dagen uit de database."""
+    query = "DELETE FROM CO2_Metingen WHERE Timestamp < NOW() - INTERVAL 7 DAY"
+    try:
+        execute_query(query, commit=True)
+        print("Database opruiming voltooid.")
+    except Exception as e:
+        print(f"Fout bij database opruiming: {e}")
+
+
+# Toggleknop voor automatisch verwijderen
+@co2_sensor_bp.route('/toggle_auto_delete', methods=['POST'])
+@login_required
+@recht_vereist('co2')
+def toggle_auto_delete():
+    """Schakelt het automatisch verwijderen van oude data aan/uit."""
+    data = request.get_json()
+    is_active = data.get('active', False)
+    
+    # Hier kun je een variabele in de scanner of een config opslaan
+    # Voor nu simuleren we de status-bevestiging
+    scanner.auto_delete = is_active 
+    
+    if is_active:
+        perform_cleanup()
+        
+    return jsonify({'active': scanner.auto_delete})
+
+
+@co2_sensor_bp.route('/get_cleanup_status')
+@login_required
+@recht_vereist('co2')
+def get_cleanup_status():
+    """Geeft de huidige status van de auto-delete instelling terug."""
+    # Zorg dat 'auto_delete' bestaat in je CO2Scanner klasse of gebruik een globale
+    status = getattr(scanner, 'auto_delete', False)
+    return jsonify({'active': status})
+
+
+# Eenmalige scan uitvoeren
+@co2_sensor_bp.route('/scan')
+@login_required
+@recht_vereist('co2')
+def scan_co2():
+    """Trigger één handmatige scan-ronde."""
+    scanner.perform_scan()
+    flash("Handmatige scan voltooid.", "success")
+    return redirect(url_for('co2_sensor.dashboard'))
+
+# Start herhalende scan
+@co2_sensor_bp.route('/toggle_continuous_scan', methods=['POST'])
+@login_required
+@recht_vereist('co2')
+def toggle_continuous_scan():
+    """Schakelt de achtergrond-thread aan of uit via de website."""
+    data = request.get_json()
+    if data.get('active'):
+        scanner.start()
+    else:
+        scanner.stop()
+    return jsonify({'active': scanner.active})
+
+@co2_sensor_bp.route('/get_scan_status')
+@login_required
+@recht_vereist('co2')
+def get_scan_status():
+    """Zorgt dat de switch in de HTML op de juiste stand staat bij laden."""
+    return jsonify({'active': scanner.active})
+
+
+#-----------------------------------------------
+# Opent grafiekvenster met 50 waarden 
+#-----------------------------------------------
+@co2_sensor_bp.route('/grafiek/<lokaal>')
+@login_required
+@recht_vereist('co2')
+def grafiek(lokaal):
+    # Haal de laatste 50 metingen op (oud → nieuw)
+    results = execute_query(
+        "SELECT ppm, timestamp FROM ("
+        "  SELECT m.ppm, m.Timestamp AS timestamp FROM CO2_Metingen m "
+        "  JOIN Lokalen lk ON lk.Lokaal_ID = m.Lokaal_ID WHERE lk.Naam = %s "
+        "  ORDER BY m.Timestamp DESC LIMIT 50) x ORDER BY timestamp ASC",
+        (lokaal,)
+    )
+    
+    # Split de data voor Chart.js
+    # We gebruiken ASC zodat de grafiek van links (oud) naar rechts (nieuw) loopt
+    labels = [row['timestamp'].strftime("%d-%m %H:%M:%S") if hasattr(row['timestamp'], 'strftime') else str(row['timestamp']) for row in results]
+    values = [row['ppm'] for row in results]
+    
+    return render_template('grafiek.html', lokaal=lokaal, labels=labels, data=values)
\ No newline at end of file
diff --git a/blueprints/contacten_bp.py b/blueprints/contacten_bp.py
new file mode 100644
index 0000000..4695e89
--- /dev/null
+++ b/blueprints/contacten_bp.py
@@ -0,0 +1,115 @@
+"""Gmail › Contacten: contactlijsten in de mailboxen en het adresboek van de organisatie (zichtbaar/verborgen)."""
+
+from flask import Blueprint, render_template, request, session, jsonify
+
+from blueprints.auth import login_required
+from rechten import recht_vereist, log
+from services import contacten_service as cs
+
+contacten_bp = Blueprint('contacten', __name__)
+TABS = ('lijsten', 'adresboek')
+
+
+def _door():
+    return session.get('naam') or session.get('user')
+
+
+@contacten_bp.route('/', methods=['GET'])
+@login_required
+@recht_vereist('gmail_contacten')
+def overzicht():
+    tab = request.args.get('tab') if request.args.get('tab') in TABS else TABS[0]
+    ctx = {'tab': tab, 'fout': None, 'status': cs.LijstSync().status}
+    try:
+        if tab == 'adresboek':
+            ctx['ous'] = cs.ou_lijst()
+            ctx['ou'] = request.args.get('ou') or ''
+            ctx['met_sub'] = 'sub' not in request.args or '1' in request.args.getlist('sub')
+            ctx['gebruikers'] = cs.gebruikers_in([ctx['ou']], ctx['met_sub']) if ctx['ou'] else []
+        else:
+            ctx['lijsten'] = cs.lijsten()
+            lid = request.args.get('lijst', type=int)
+            ctx['gekozen'] = cs.lijst(lid) if lid else None
+            ctx['nieuw'] = bool(request.args.get('nieuw'))
+            if ctx['gekozen'] or ctx['nieuw']:
+                ctx['ous'] = cs.ou_lijst()
+    except cs.ContactFout as e:
+        ctx['fout'] = str(e)
+    except Exception as e:
+        ctx['fout'] = cs.vriendelijk(e)
+    return render_template('contacten.html', **ctx)
+
+
+# ---------------------------------------------------------------------
+# 1. Adresboek
+# ---------------------------------------------------------------------
+@contacten_bp.route('/adresboek', methods=['POST'])
+@login_required
+@recht_vereist('gmail_contacten')
+def adresboek():
+    d = request.get_json(silent=True) or {}
+    emails = [e for e in d.get('emails') or [] if isinstance(e, str)][:2000]
+    if not emails:
+        return jsonify(ok=False, fout="Niemand gekozen."), 400
+    try:
+        fouten = cs.zet_zichtbaar(emails, bool(d.get('zichtbaar')))
+    except Exception as e:
+        return jsonify(ok=False, fout=cs.vriendelijk(e)), 400
+    log(f"Contacten: {len(emails)} gebruiker(s) {'zichtbaar' if d.get('zichtbaar') else 'verborgen'} in het adresboek")
+    return jsonify(ok=not fouten, fouten=fouten, aantal=len(emails) - len(fouten))
+
+
+# ---------------------------------------------------------------------
+# 2. Contactlijsten in de mailboxen
+# ---------------------------------------------------------------------
+@contacten_bp.route('/lijst/bewaren', methods=['POST'])
+@login_required
+@recht_vereist('gmail_contacten')
+def lijst_bewaren():
+    d = request.get_json(silent=True) or {}
+    lid = int(d['id']) if str(d.get('id') or '').isdigit() else None
+    oud = cs.lijst(lid) if lid else None
+    try:
+        lid = cs.lijst_bewaren(lid, d.get('naam'), [o for o in d.get('ous') or [] if isinstance(o, str)],
+                               bool(d.get('met_sub')), [i for i in d.get('items') or [] if isinstance(i, dict)], _door())
+    except cs.ContactFout as e:
+        return jsonify(ok=False, fout=str(e)), 400
+    log(f"Contacten: contactlijst {d.get('naam')} bewaard")
+    gestart = False
+    # Stond de lijst al in de mailboxen? Dan meteen bijwerken (ook bij wie er door een OU-wijziging uit valt)
+    if oud and oud.get('Laatste_sync'):
+        gestart = cs.LijstSync().start(lid, oude_naam=oud['Naam'], oude_ous=oud['ous'])
+    return jsonify(ok=True, id=lid, gestart=gestart)
+
+
+@contacten_bp.route('/lijst/<int:lijst_id>/sync', methods=['POST'])
+@login_required
+@recht_vereist('gmail_contacten')
+def lijst_sync(lijst_id):
+    if not cs.LijstSync().start(lijst_id):
+        return jsonify(ok=False, fout="Er loopt al een opdracht."), 409
+    log(f"Contacten: contactlijst {lijst_id} naar de mailboxen")
+    return jsonify(ok=True)
+
+
+@contacten_bp.route('/lijst/<int:lijst_id>/verwijderen', methods=['POST'])
+@login_required
+@recht_vereist('gmail_contacten')
+def lijst_verwijderen(lijst_id):
+    l = cs.lijst(lijst_id)
+    if not l:
+        return jsonify(ok=False, fout="Lijst niet gevonden."), 404
+    log(f"Contacten: contactlijst {l['Naam']} verwijderd")
+    if l.get('Laatste_sync'):
+        if not cs.LijstSync().start(lijst_id, verwijderen=True):
+            return jsonify(ok=False, fout="Er loopt al een opdracht."), 409
+        return jsonify(ok=True, gestart=True)
+    cs.lijst_verwijderen_db(lijst_id)
+    return jsonify(ok=True, gestart=False)
+
+
+@contacten_bp.route('/status.json', methods=['GET'])
+@login_required
+@recht_vereist('gmail_contacten')
+def status():
+    return jsonify(cs.LijstSync().status)
diff --git a/blueprints/dashboard_bp.py b/blueprints/dashboard_bp.py
new file mode 100644
index 0000000..eadea7c
--- /dev/null
+++ b/blueprints/dashboard_bp.py
@@ -0,0 +1,19 @@
+from flask import Blueprint, render_template, session
+from blueprints.auth import login_required
+
+main_bp = Blueprint('main', __name__)
+
+#---------------------------------------------
+# Functie open dahboard
+#---------------------------------------------
+@main_bp.route('/dashboard')
+@login_required
+def dashboard():
+    # We halen de naam en de groep uit de sessie die in auth.py zijn opgeslagen
+    user_name = session.get('user')
+    user_group = session.get('security_group')
+
+    # We geven 'current_user' door zodat je HTML {% if current_user == 'admin' %} werkt
+    return render_template('dashboard.html', 
+                           current_user=user_name, 
+                           security_group=user_group)
\ No newline at end of file
diff --git a/blueprints/devices.py b/blueprints/devices.py
new file mode 100644
index 0000000..99dd023
--- /dev/null
+++ b/blueprints/devices.py
@@ -0,0 +1,603 @@
+import sys
+from flask import Blueprint, render_template, request, session, redirect, url_for, flash, jsonify
+from database import execute_query
+from services import CIP_inleveren
+from services import CIP_uitdelen
+from blueprints.auth import login_required
+from rechten import recht_vereist
+from database import execute_query, execute_insert, get_db_connection
+from services import toestellen as tst
+from blueprints.google_admin import google_service
+from googleapiclient.errors import HttpError
+
+
+# We noemen de blueprint 'devices'
+devices_bp = Blueprint('devices', __name__)
+
+#-------------------------------------------------
+# --- ROUTE TOESTELLEN (Inventaris Toestellen) ---
+#-------------------------------------------------
+@devices_bp.route("/inventaris", methods=["GET", "POST"])
+@login_required
+@recht_vereist('toestellen_beheren')
+def inventaris_toestellen():
+    query = request.form.get("query", "") if request.method == "POST" else request.args.get("query", "")
+    message = None
+    
+    search_term = f"%{query}%"
+    try:
+        tst.ensure_geblokkeerd()
+        geblokkeerd = "t.Geblokkeerd"
+    except Exception as e:                      # bv. geen ALTER-rechten: pagina blijft werken
+        sys.stderr.write(f"Kolom Toestellen.Geblokkeerd: {e}\n")
+        geblokkeerd = "0"
+    sql = f"""
+    SELECT * FROM (
+        SELECT t.Toestel_ID, t.Schooleigen_ID AS KAMXM_nummer, sp.Signpostnummer, t.Serienummer, t.Type,
+               DATE_FORMAT(sp.Garantie, '%d-%m-%Y') AS Garantie, t.Status, {geblokkeerd} AS Geblokkeerd,
+               {tst.LAATSTE_OPMERKING} AS Opmerking
+        FROM Toestellen t
+        LEFT JOIN Signpost_DB sp ON sp.Toestel_ID = t.Toestel_ID
+    ) x
+    WHERE CONCAT_WS(' ', KAMXM_nummer, Signpostnummer, Serienummer, Type, Opmerking) LIKE %s
+    ORDER BY KAMXM_nummer IS NULL, KAMXM_nummer
+    """
+    
+    results = execute_query(sql, (search_term,))
+    
+
+    if query and not results:
+        message = f"Geen resultaten gevonden voor '{query}'."
+    elif not results:
+        message = "Er zijn momenteel geen toestellen in de inventaris."
+
+    return render_template("toestellen.html", results=results, query=query, message=message)
+
+@devices_bp.route("/google_import", methods=["POST"])
+@login_required
+@recht_vereist('toestellen_beheren')
+def google_import():
+    """Chromebooks uit Google Admin in de inventaris zetten: nieuwe serienummers toevoegen en een ontbrekend model
+    aanvullen. Er wordt niets verwijderd of overschreven."""
+    from config import Config
+    # Leeg = alle Chromebooks van het domein; anders enkel deze OU's (met sub-OU's)
+    ous = [o.strip() for o in str(Config.CHROMEBOOK_OUS or '').split(',') if o.strip()]
+    try:
+        toestellen = google_service.lijst_chromebooks(ous)
+    except HttpError as e:
+        fout = str(e)
+        if 'INVALID_OU_ID' in fout or 'Invalid Input: OrgUnit' in fout or ('400' in fout and ous):
+            flash(f"Een OU bestaat niet in Google: {', '.join(ous)}. Pas 'OU's van de Chromebooks' aan bij "
+                  "🔌 Koppelingen van deze school (volledig pad, bv. /ChromeBooks Medewerkers).", "error")
+        else:
+            flash(f"Chromebooks ophalen bij Google mislukt: {e}", "error")
+        return redirect(url_for("devices.inventaris_toestellen"))
+    except Exception as e:
+        flash(f"Chromebooks ophalen bij Google mislukt: {e}", "error")
+        return redirect(url_for("devices.inventaris_toestellen"))
+
+    try:
+        tst.ensure_geblokkeerd()
+        kol = "Geblokkeerd"
+    except Exception:
+        kol = "NULL AS Geblokkeerd"
+    bestaand = {(r['Serienummer'] or '').strip().upper(): r for r in
+                execute_query(f"SELECT Toestel_ID, Serienummer, Type, {kol} FROM Toestellen WHERE Serienummer IS NOT NULL")}
+    nieuw = aangevuld = blok_bijgewerkt = 0
+    fouten = []
+    # Het veld Item-ID (Asset ID) uit Google wordt bewust NIET overgenomen: het wordt soms voor andere info gebruikt
+    # (bv. een lokaal) en is dan niet uniek. Het toestelnummer van de school vul je in de inventaris of via Signpost.
+    for d in toestellen:
+        serie = d['serialNumber'].strip()
+        model = (d.get('model') or '').strip()[:100] or None
+        try:
+            rij = bestaand.get(serie.upper())
+            in_google = 1 if d.get('status') == 'DISABLED' else 0
+            if not rij:
+                nieuw_id = execute_insert("INSERT INTO Toestellen (Serienummer, Type, Status) VALUES (%s, %s, 'Beschikbaar')",
+                                          (serie, model))
+                if in_google and kol == "Geblokkeerd":
+                    tst.zet_geblokkeerd(nieuw_id, True)
+                bestaand[serie.upper()] = {'Type': model}
+                nieuw += 1
+                continue
+            if model and not rij['Type']:
+                execute_query("UPDATE Toestellen SET Type = %s WHERE Toestel_ID = %s", (model, rij['Toestel_ID']),
+                              commit=True)
+                aangevuld += 1
+            # Blokkeerstatus overnemen uit Google (daar kan het ook rechtstreeks gewijzigd zijn)
+            if rij.get('Geblokkeerd') is not None and int(rij['Geblokkeerd'] or 0) != in_google:
+                tst.zet_geblokkeerd(rij['Toestel_ID'], in_google)
+                blok_bijgewerkt += 1
+        except Exception as e:
+            fouten.append(f"{serie}: {e}")
+            sys.stderr.write(f"Chromebook-import {serie}: {e}\n")
+    bereik = f" uit {', '.join(ous)}" if ous else ""
+    flash(f"{len(toestellen)} Chromebook(s) gevonden in Google{bereik}: {nieuw} nieuw in de inventaris, "
+          f"{aangevuld} aangevuld, {len(toestellen) - nieuw - aangevuld - len(fouten)} stonden er al."
+          + (f" Blokkeerstatus bijgewerkt bij {blok_bijgewerkt} toestel(len)." if blok_bijgewerkt else ""), "success")
+    if fouten:
+        flash(f"{len(fouten)} toestel(len) konden niet verwerkt worden: " + "; ".join(fouten[:5])
+              + (" …" if len(fouten) > 5 else ""), "error")
+    return redirect(url_for("devices.inventaris_toestellen"))
+
+
+@devices_bp.route("/google_info", methods=["GET"])
+@login_required
+@recht_vereist('toestellen_beheren')
+def google_info():
+    """JSON met gebruiksinfo uit Google Admin voor één toestel (voor de knop 'Google-info')."""
+    try:
+        info, fout = google_service.chromebook_info(request.args.get('serie', ''))
+    except Exception as e:
+        info, fout = None, f"Google gaf een fout: {e}"
+    if fout:
+        return jsonify(ok=False, fout=fout)
+    # Naam van de leerling erbij als het e-mailadres in de leerlingenlijst staat
+    emails = [g['email'] for g in info['gebruikers'] if g['email']]
+    namen = {}
+    if emails:
+        try:
+            # Gebruikersnaam staat er soms als volledig e-mailadres, soms enkel het deel vóór de @
+            sleutels = list(dict.fromkeys([e.lower() for e in emails] + [e.split('@')[0].lower() for e in emails]))
+            plek = ','.join(['%s'] * len(sleutels))
+            for r in execute_query(f"SELECT Gebruikersnaam, Voornaam, Naam FROM Leerlingen WHERE Gebruikersnaam IN ({plek})",
+                                   tuple(sleutels)):
+                namen[(r['Gebruikersnaam'] or '').lower()] = f"{r.get('Voornaam') or ''} {r.get('Naam') or ''}".strip()
+        except Exception:
+            pass
+    for g in info['gebruikers']:
+        g['naam'] = namen.get(g['email'].lower()) or namen.get(g['email'].split('@')[0].lower(), '')
+    return jsonify(ok=True, info=info)
+
+
+#-----------------------------------------------------
+# Functie achter bewerk toestel knop
+#-----------------------------------------------------
+@devices_bp.route("/bewerk_toestel", methods=["POST"])
+@login_required
+@recht_vereist('toestellen_beheren')
+def bewerk_toestel():
+    """Verwerkt de POST-gegevens om een toestelrecord bij te werken."""
+    
+    # Gebruik de gegevens uit het formulier
+    toestel_id = request.form.get("toestel_id")
+    schooleigen_id = (request.form.get("schooleigen_id") or "").strip() or None
+    serienummer = request.form.get("serienummer")
+    signpostnummer = request.form.get("signpostnummer")
+    type_toestel = request.form.get("type") 
+    garantie = request.form.get("garantie")
+    opmerking = request.form.get("opmerking")
+    query = request.form.get("query", "") 
+
+    if not toestel_id:
+        flash("Fout: Uniek nummer ontbreekt. Kan toestel niet bijwerken.", "error")
+        return redirect(url_for("devices.inventaris_toestellen"))
+    
+    try:
+        tst.lees_datum(garantie)   # eerst valideren, zodat er niets half bewaard wordt
+        execute_query("UPDATE Toestellen SET Schooleigen_ID = %s, Serienummer = %s, Type = %s WHERE Toestel_ID = %s",
+                      (schooleigen_id, (serienummer or '').strip() or None, (type_toestel or '').strip() or None,
+                       toestel_id), commit=True)
+        tst.bewaar_signpost(toestel_id, signpostnummer, garantie)
+        tst.voeg_opmerking_toe(toestel_id, opmerking, session.get('user'))
+        flash(f"Toestel {schooleigen_id or serienummer} succesvol bijgewerkt.", "success")
+
+    except ValueError as err:
+        flash(str(err), "error")
+    except Exception as err:
+        flash(f"Databasefout bij het bewerken van het toestel: {err}", "error")
+    
+    # BELANGRIJK: Gebruik de blueprint prefix 'devices.' in de redirect
+    return redirect(url_for("devices.inventaris_toestellen", query=query))
+
+
+#-------------------------------------------------
+# --- ROUTE EIGENDOM (koppeling toestel-leerling) ---
+#-------------------------------------------------
+@devices_bp.route("/eigendom", methods=["GET", "POST"])
+@login_required
+@recht_vereist('eigendom_bekijken')
+def inventaris_eigendom():
+    query = (request.form.get("query") or request.args.get("query") or "").strip()
+
+    # Alle huidige leerlingen, met het toestel dat ze nu hebben (of zonder toestel). Vertrokken leerlingen enkel
+    # als ze nog een toestel hebben. Een leerling met twee toestellen staat er twee keer in.
+    # Met zoekterm: elk woord moet voorkomen in internnummer, naam, gebruikersnaam, SS-nummer, toestel of opmerkingen.
+    try:
+        from services.sync_service import zorg_vertrokken_kolom
+        zorg_vertrokken_kolom()
+        vertrokken = "l.Vertrokken_op IS NULL OR "
+    except Exception:
+        vertrokken = ""
+    sql = f"""
+    SELECT * FROM (
+        SELECT e.Eigendom_ID, l.Internnummer AS internnummer, l.Voornaam, l.Naam, l.Gebruikersnaam, l.SS_nummer,
+               t.Schooleigen_ID AS kamxm_nummer, t.Serienummer, e.Datum_toekenning,
+               IFNULL(e.Status, 0) AS locked, (e.Eigendom_ID IS NOT NULL) AS heeft_toestel,
+               (SELECT GROUP_CONCAT(o.Opmerking ORDER BY o.Timestamp SEPARATOR ' | ')
+                  FROM Opmerkingen o WHERE o.Toestel_ID = t.Toestel_ID) AS opmerkingen
+        FROM Leerlingen l
+        LEFT JOIN Eigendom e ON e.Internnummer = l.Internnummer AND e.Datum_inlevering IS NULL
+        LEFT JOIN Toestellen t ON t.Toestel_ID = e.Toestel_ID
+        WHERE {vertrokken}e.Eigendom_ID IS NOT NULL
+    ) x
+    """
+    woorden = query.split()[:5]
+    if woorden:
+        sql += " WHERE " + " AND ".join(
+            ["LOWER(CONCAT_WS(' ', internnummer, Voornaam, Naam, Gebruikersnaam, SS_nummer, IFNULL(kamxm_nummer, ''), "
+             "IFNULL(Serienummer, ''), IFNULL(opmerkingen, ''))) LIKE %s"] * len(woorden))
+    sql += " ORDER BY heeft_toestel DESC, Datum_toekenning DESC, Naam, Voornaam, internnummer"
+    results = execute_query(sql, tuple(f"%{w.lower()}%" for w in woorden))
+
+    return render_template("inventaris.html", results=results, query=query)
+
+@devices_bp.route("/eigendom/historie/<internnummer>", methods=["GET"])
+@login_required
+@recht_vereist('eigendom_bekijken')
+def eigendom_historie(internnummer):
+    """Alle toestellen die een leerling ooit gehad heeft (ook ingeleverde), nieuwste eerst."""
+    from datetime import date
+    rows = execute_query("""
+        SELECT e.Eigendom_ID, e.Datum_toekenning, e.Datum_inlevering, IFNULL(e.Status, 0) AS locked,
+               t.Schooleigen_ID, t.Serienummer, t.Type,
+               (SELECT GROUP_CONCAT(o.Opmerking ORDER BY o.Timestamp SEPARATOR ' | ')
+                  FROM Opmerkingen o WHERE o.Toestel_ID = t.Toestel_ID) AS opmerkingen
+        FROM Eigendom e INNER JOIN Toestellen t ON t.Toestel_ID = e.Toestel_ID
+        WHERE e.Internnummer = %s
+        ORDER BY e.Datum_inlevering IS NOT NULL, e.Datum_toekenning DESC, e.Eigendom_ID DESC""", (internnummer,)) or []
+    leerling = (execute_query("SELECT Voornaam, Naam, Gebruikersnaam FROM Leerlingen WHERE Internnummer = %s",
+                              (internnummer,)) or [{}])[0]
+
+    def d(x):
+        return x.strftime('%d-%m-%Y') if hasattr(x, 'strftime') else (str(x) if x else '')
+
+    uit = []
+    for r in rows:
+        begin, einde = r['Datum_toekenning'], r['Datum_inlevering']
+        dagen = None
+        if hasattr(begin, 'toordinal'):
+            dagen = ((einde if hasattr(einde, 'toordinal') else date.today()) - begin).days
+        uit.append({'toestel': r['Schooleigen_ID'] or '', 'serienummer': r['Serienummer'] or '', 'type': r['Type'] or '',
+                    'van': d(begin), 'tot': d(einde), 'huidig': not einde, 'dagen': dagen,
+                    'geblokkeerd': int(r['locked'] or 0) == 1, 'opmerkingen': r['opmerkingen'] or ''})
+    return jsonify(ok=True, internnummer=internnummer,
+                   naam=f"{leerling.get('Voornaam') or ''} {leerling.get('Naam') or ''}".strip(),
+                   gebruikersnaam=leerling.get('Gebruikersnaam') or '', toestellen=uit)
+
+
+@devices_bp.route("/inventaris/historie/<int:toestel_id>", methods=["GET"])
+@login_required
+@recht_vereist('toestellen_beheren', 'eigendom_bekijken')
+def toestel_historie(toestel_id):
+    """Alle leerlingen die dit toestel ooit gehad hebben, nieuwste eerst."""
+    from datetime import date
+    rows = execute_query("""
+        SELECT e.Internnummer, e.Datum_toekenning, e.Datum_inlevering, IFNULL(e.Status, 0) AS locked,
+               l.Voornaam, l.Naam, l.Gebruikersnaam
+        FROM Eigendom e LEFT JOIN Leerlingen l ON l.Internnummer = e.Internnummer
+        WHERE e.Toestel_ID = %s
+        ORDER BY e.Datum_inlevering IS NOT NULL, e.Datum_toekenning DESC, e.Eigendom_ID DESC""", (toestel_id,)) or []
+
+    def d(x):
+        return x.strftime('%d-%m-%Y') if hasattr(x, 'strftime') else (str(x) if x else '')
+
+    uit = []
+    for r in rows:
+        begin, einde = r['Datum_toekenning'], r['Datum_inlevering']
+        dagen = ((einde if hasattr(einde, 'toordinal') else date.today()) - begin).days if hasattr(begin, 'toordinal') else None
+        uit.append({'internnummer': r['Internnummer'], 'naam': f"{r['Voornaam'] or ''} {r['Naam'] or ''}".strip(),
+                    'gebruikersnaam': r['Gebruikersnaam'] or '', 'van': d(begin), 'tot': d(einde), 'huidig': not einde,
+                    'dagen': dagen, 'geblokkeerd': int(r['locked'] or 0) == 1})
+    return jsonify(ok=True, eigenaars=uit)
+
+
+#-------------------------------------------------
+# --- ROUTE UITDELEN ---
+#-------------------------------------------------
+@devices_bp.route('/uitdelen', methods=['GET'])
+@login_required
+@recht_vereist('toestellen_uitdelen')
+def uitdelen_page():
+    return render_template('uitdelen.html', message=None)
+
+@devices_bp.route('/zoek_leerlingen', methods=['GET'])
+@login_required
+@recht_vereist('toestellen_uitdelen', 'toestellen_beheren')
+def zoek_leerlingen():
+    """Suggesties voor het veld 'Internnummer' (max. 15): op internnummer, naam, voornaam of gebruikersnaam.
+    Geeft ook het toestel dat de leerling nu heeft."""
+    q = (request.args.get('q') or '').strip()
+    if not q:
+        return jsonify([])
+    woorden = q.split()[:4]
+    # Elk woord moet voorkomen in internnummer, gebruikersnaam of naam (in eender welke volgorde)
+    # LOWER(): zoeken zonder onderscheid tussen hoofd- en kleine letters, ongeacht de collation van CONCAT_WS
+    voorwaarden = " AND ".join(["LOWER(CONCAT_WS(' ', l.Internnummer, l.SS_nummer, l.Gebruikersnaam, l.Voornaam, l.Naam)) LIKE %s"] * len(woorden))
+    rows = execute_query(
+        "SELECT l.Internnummer, l.Voornaam, l.Naam, l.Gebruikersnaam, "
+        "       GROUP_CONCAT(COALESCE(t.Schooleigen_ID, t.Serienummer) SEPARATOR ', ') AS Toestellen "
+        "FROM Leerlingen l "
+        "LEFT JOIN Eigendom e ON e.Internnummer = l.Internnummer AND e.Datum_inlevering IS NULL "
+        "LEFT JOIN Toestellen t ON t.Toestel_ID = e.Toestel_ID "
+        f"WHERE {voorwaarden} "
+        "GROUP BY l.Internnummer, l.Voornaam, l.Naam, l.Gebruikersnaam "
+        "ORDER BY (l.Internnummer LIKE %s) DESC, l.Naam, l.Voornaam LIMIT 15",
+        tuple(f"%{w.lower()}%" for w in woorden) + (f"{q}%",))
+    return jsonify([{'intern': r['Internnummer'], 'naam': f"{r['Voornaam'] or ''} {r['Naam'] or ''}".strip(),
+                     'gebruiker': r['Gebruikersnaam'] or '', 'toestellen': r['Toestellen'] or ''} for r in rows])
+
+
+@devices_bp.route('/zoek_toestellen', methods=['GET'])
+@login_required
+@recht_vereist('toestellen_uitdelen', 'toestellen_beheren')
+def zoek_toestellen():
+    """Suggesties voor het zoekveld 'Toestelnummer' (max. 15): op toestelnummer of serienummer."""
+    q = (request.args.get('q') or '').strip()
+    if len(q) < 1:
+        return jsonify([])
+    # Uitdelen: beschikbare toestellen eerst; inleveren: uitgeleende toestellen eerst
+    voorkeur = {'uitgeleend': "e.Internnummer IS NULL, ", 'beschikbaar': "e.Internnummer IS NOT NULL, "}.get(
+        request.args.get('voorkeur'), "")
+    rows = execute_query(
+        "SELECT t.Schooleigen_ID, t.Serienummer, t.Type, t.Status, e.Internnummer "
+        "FROM Toestellen t LEFT JOIN Eigendom e ON e.Toestel_ID = t.Toestel_ID AND e.Datum_inlevering IS NULL "
+        "WHERE t.Schooleigen_ID LIKE %s OR t.Serienummer LIKE %s "
+        f"ORDER BY {voorkeur}t.Schooleigen_ID IS NULL, (t.Schooleigen_ID LIKE %s) DESC, t.Schooleigen_ID, t.Serienummer "
+        "LIMIT 15",
+        (f"%{q}%", f"%{q}%", f"{q}%"))
+    return jsonify([{'nummer': r['Schooleigen_ID'] or '', 'serie': r['Serienummer'] or '', 'type': r['Type'] or '',
+                     'status': r['Status'] or '', 'bij': r['Internnummer'] or ''} for r in rows])
+
+# Functie van knop Ingeven (Uitdelen)
+@devices_bp.route('/uitdelen_submit', methods=['POST'])
+@login_required
+@recht_vereist('toestellen_uitdelen')
+def uitdelen_submit():
+    internnummer = request.form.get('internnummer')
+    #TODO--------------------------------------------
+    try:
+        internnummer= int(internnummer)
+
+    except:
+        internnummer = str(internnummer)
+    #--------------------------------------------
+    serienummer = request.form.get('serienummer')
+    action_type = request.form.get('action') 
+    
+    success = CIP_uitdelen.uitdelen(internnummer, serienummer)
+    
+    if success:
+        flash(f"Toestel met nummer {serienummer} succesvol uitgedeeld!", "success")
+    else:
+        # Als het mislukt, tonen we de foutmelding die in de service is gezet
+        flash(CIP_uitdelen.foutmelding, "error")
+        
+    return redirect(url_for('devices.uitdelen_page'))
+
+#-------------------------------------------------
+# --- ROUTE INLEVEREN ---
+#-------------------------------------------------
+@devices_bp.route('/inleveren', methods=['GET'])
+@login_required
+@recht_vereist('toestellen_uitdelen')
+def inleveren_page():
+    return render_template('inleveren.html', message=None)
+
+# Functie van knop Ingeven (Inleveren)
+@devices_bp.route('/inleveren_submit', methods=['POST'])
+@login_required
+@recht_vereist('toestellen_uitdelen')
+def inleveren_submit():
+    internnummer = request.form.get('internnummer')
+    serienummer = request.form.get('serienummer')
+    tab2_schade_text = request.form.get('schade_type', "")
+    action_type = request.form.get('action') 
+    try:
+        internnummer= int(internnummer)
+
+    except:
+        internnummer = str(internnummer)
+    if action_type:
+        CIP_inleveren.Inleveren(internnummer, serienummer, action_type, tab2_schade_text)
+        
+    return render_template('inleveren.html', message=CIP_inleveren.foutmelding)
+
+#---------------------------------
+# --- STATUS UPDATES ---
+#---------------------------------
+@devices_bp.route("/update_toestel_status", methods=["POST"])
+@login_required
+@recht_vereist('toestellen_beheren')
+def wijzig_status():
+    toestel_id = request.form.get("toestel_id")
+    new_status = request.form.get("new_status")
+    query = request.form.get("query", "")
+    
+    if toestel_id and new_status in ["Beschikbaar", "Uitgeleend", "Defect"]:
+        execute_query("UPDATE Toestellen SET Status = %s WHERE Toestel_ID = %s", (new_status, toestel_id), commit=True)
+        rij = execute_query("SELECT Schooleigen_ID, Serienummer FROM Toestellen WHERE Toestel_ID = %s", (toestel_id,))
+        label = (rij[0]['Schooleigen_ID'] or rij[0]['Serienummer']) if rij else toestel_id
+        flash(f"Status van {label} gewijzigd naar {new_status}", "success")
+    
+    return redirect(url_for("devices.inventaris_toestellen", query=query))
+
+#-------------------------------------------------
+# --- ROUTE BLOKKEREN / DEBLOKKEREN ---
+#-------------------------------------------------
+@devices_bp.route('/eigendom/bewerken', methods=['POST'])
+@login_required
+@recht_vereist('toestellen_uitdelen')
+def eigendom_bewerken():
+    """Een lopende toekenning aanpassen: andere leerling en/of ander toestel."""
+    query = request.form.get('query', '')
+    terug = redirect(url_for('devices.inventaris_eigendom', query=query or None))
+    eigendom_id = request.form.get('eigendom_id', type=int)
+    rows = execute_query("SELECT * FROM Eigendom WHERE Eigendom_ID = %s AND Datum_inlevering IS NULL", (eigendom_id,))
+    if not rows:
+        flash("Deze toekenning bestaat niet (meer) of is al ingeleverd.", "error")
+        return terug
+    oud = rows[0]
+
+    leerling = tst.zoek_leerling((request.form.get('internnummer') or '').strip())
+    if not leerling:
+        flash("Internnummer niet gevonden in de leerlingenlijst.", "error")
+        return terug
+    toestel = tst.zoek_toestel((request.form.get('toestelnummer') or '').strip())
+    if not toestel:
+        flash("Toestelnummer (of serienummer) niet gevonden in de toestellenlijst.", "error")
+        return terug
+
+    nieuw_toestel = toestel['Toestel_ID'] != oud['Toestel_ID']
+    if nieuw_toestel:
+        bezet = execute_query("SELECT Internnummer FROM Eigendom WHERE Toestel_ID = %s AND Datum_inlevering IS NULL "
+                              "AND Eigendom_ID <> %s", (toestel['Toestel_ID'], eigendom_id))
+        if bezet:
+            flash(f"Toestel {toestel.get('Schooleigen_ID') or toestel.get('Serienummer')} is al uitgeleend aan "
+                  f"{bezet[0]['Internnummer']}. Lever het eerst in.", "error")
+            return terug
+    if not nieuw_toestel and str(leerling['Internnummer']) == str(oud['Internnummer']):
+        flash("Er is niets gewijzigd.", "info")
+        return terug
+
+    execute_query("UPDATE Eigendom SET Internnummer = %s, Toestel_ID = %s WHERE Eigendom_ID = %s",
+                  (leerling['Internnummer'], toestel['Toestel_ID'], eigendom_id), commit=True)
+    if nieuw_toestel:
+        # Het vorige toestel is weer vrij, het nieuwe staat op uitgeleend
+        execute_query("UPDATE Toestellen SET Status = 'Beschikbaar' WHERE Toestel_ID = %s AND Status = 'Uitgeleend'",
+                      (oud['Toestel_ID'],), commit=True)
+        execute_query("UPDATE Toestellen SET Status = 'Uitgeleend' WHERE Toestel_ID = %s", (toestel['Toestel_ID'],),
+                      commit=True)
+    naam = f"{leerling.get('Voornaam') or ''} {leerling.get('Naam') or ''}".strip() or leerling['Internnummer']
+    flash(f"Toekenning aangepast: {toestel.get('Schooleigen_ID') or toestel.get('Serienummer')} → {naam} "
+          f"({leerling['Internnummer']}).", "success")
+    return terug
+
+
+@devices_bp.route('/toggle_lock', methods=['POST'])
+@login_required
+@recht_vereist('toestel_blokkeren')
+def toggle_lock():
+    # Haal de gegevens op uit het formulier en strip ze direct
+    internnummer = request.form.get('internnummer', '').strip()
+    query = request.form.get('query', '')
+
+    # 1. Haal de huidige leerling/toestel koppeling op
+    rows = execute_query(
+        "SELECT e.Eigendom_ID, e.Status, e.Toestel_ID, t.Schooleigen_ID, t.Serienummer FROM Eigendom e "
+        "JOIN Toestellen t ON t.Toestel_ID = e.Toestel_ID "
+        "WHERE e.Internnummer = %s AND e.Datum_inlevering IS NULL ORDER BY e.Datum_toekenning DESC",
+        (internnummer,))
+    
+    if not rows:
+        flash("Geen gegevens gevonden in de Eigendom tabel.", "error")
+        return redirect(url_for('devices.inventaris_eigendom', query=query))
+
+    current_status = int(rows[0]['Status']) if rows[0]['Status'] is not None else 0
+    eigendom_id = rows[0]['Eigendom_ID']
+    kamxm_nummer = str(rows[0]['Schooleigen_ID'] or '').strip()
+
+    # 2. Serienummer van het toestel
+    serienummer = str(rows[0]['Serienummer']).strip() if rows[0]['Serienummer'] else None
+    
+    if not serienummer:
+        flash(f"Kan geen serienummer vinden voor toestel {kamxm_nummer}.", "error")
+        return redirect(url_for('devices.inventaris_eigendom', query=query))
+
+    # 3. Vraag het Device ID op bij Google met een 'gecleand' serienummer
+    # We gebruiken strip() om de \t (tab) en spaties te verwijderen
+    clean_serial = serienummer.strip()
+    device_id, error = google_service.get_device_id_by_serial(clean_serial)
+    
+    if device_id:
+        # Als status 0 is (unlocked) -> moet hij naar disable (True)
+        should_lock = (current_status == 0)
+        success, api_message = google_service.toggle_device_status(device_id, lock=should_lock)
+        
+        if success:
+            new_status = 1 if should_lock else 0
+            execute_query("UPDATE Eigendom SET Status=%s WHERE Eigendom_ID=%s", (new_status, eigendom_id), commit=True)
+            try:
+                tst.zet_geblokkeerd(rows[0]['Toestel_ID'], should_lock)
+            except Exception as e:
+                sys.stderr.write(f"Toestellen.Geblokkeerd bijwerken: {e}\n")
+            flash(api_message, "success")
+        else:
+            flash(f"Google API Fout: {api_message}", "error")
+    else:
+        # Hier wordt de 'Invalid Input' nu voorkomen of getoond als het serienummer echt fout is
+        flash(f"Google Zoekfout: {error}", "error")
+
+    return redirect(url_for('devices.inventaris_eigendom', query=query))
+
+@devices_bp.route('/inventaris/blokkeren', methods=['POST'])
+@login_required
+@recht_vereist('toestel_blokkeren')
+def toestel_blokkeren():
+    """Blokkeert of deblokkeert één Chromebook in Google (knop in Alle toestellen).
+    actie = 'blokkeren' of 'deblokkeren'. Met fetch (X-Requested-With) komt er JSON terug, anders een redirect."""
+    from rechten import log
+    ajax = request.headers.get('X-Requested-With') == 'fetch'
+    query = request.form.get('query', '')
+    actie = request.form.get('actie', '')
+
+    def klaar(ok, melding, geblokkeerd=None):
+        if ajax:
+            return jsonify(ok=ok, melding=melding, geblokkeerd=geblokkeerd)
+        flash(melding, "success" if ok else "error")
+        return redirect(url_for('devices.inventaris_toestellen', query=query))
+
+    if actie not in ('blokkeren', 'deblokkeren'):
+        return klaar(False, "Onbekende actie.")
+    blokkeren = actie == 'blokkeren'
+    try:
+        toestel_id = int(request.form.get('toestel_id', ''))
+    except ValueError:
+        return klaar(False, "Onbekend toestel.")
+    rows = execute_query("SELECT Toestel_ID, Schooleigen_ID, Serienummer FROM Toestellen WHERE Toestel_ID = %s",
+                         (toestel_id,))
+    if not rows:
+        return klaar(False, "Toestel niet gevonden.")
+    t = rows[0]
+    label = t['Schooleigen_ID'] or t['Serienummer'] or str(toestel_id)
+    if not (t['Serienummer'] or '').strip():
+        return klaar(False, f"Toestel {label} heeft geen serienummer; vul het eerst in via ✏️ Bewerken.")
+    try:
+        toestel, fout = google_service.zoek_chromebook(t['Serienummer'])
+    except Exception as e:
+        toestel, fout = None, f"Google gaf een fout: {e}"
+    if not toestel:
+        return klaar(False, fout)
+    status = toestel['status']
+    if status == 'DEPROVISIONED':
+        return klaar(False, f"Toestel {label} is uitgeschreven in Google Admin en kan niet (ge)blokkeerd worden.")
+    gewenst = 'DISABLED' if blokkeren else 'ACTIVE'
+    if status != gewenst:
+        ok, melding = google_service.toggle_device_status(toestel['id'], lock=blokkeren)
+        if not ok:
+            return klaar(False, melding)
+    try:
+        tst.zet_geblokkeerd(toestel_id, blokkeren)
+    except Exception as e:
+        sys.stderr.write(f"Toestellen.Geblokkeerd bijwerken: {e}\n")
+    log(f"Chromebook {label} {'geblokkeerd' if blokkeren else 'gedeblokkeerd'}")
+    if status == gewenst:
+        return klaar(True, f"Toestel {label} was in Google al {'geblokkeerd' if blokkeren else 'actief'}.", blokkeren)
+    return klaar(True, f"Toestel {label} is {'geblokkeerd' if blokkeren else 'gedeblokkeerd'}.", blokkeren)
+
+
+#-------------------------------------------------
+# --- HELPER gebruikt in Toggle lock functie ---
+#-------------------------------------------------
+def get_serienummer_from_kamxm(kamxm_nummer):
+    if not kamxm_nummer:
+        return None
+    result = execute_query("SELECT Serienummer FROM Toestellen WHERE Schooleigen_ID=%s", (kamxm_nummer,))
+    if result and result[0]['Serienummer']:
+        # Alvast een basis strip()
+        return str(result[0]['Serienummer']).strip()
+    return None
+
+
+
diff --git a/blueprints/facturatie_bp.py b/blueprints/facturatie_bp.py
new file mode 100644
index 0000000..730119a
--- /dev/null
+++ b/blueprints/facturatie_bp.py
@@ -0,0 +1,96 @@
+"""Leerlingfacturatie: facturen en creditnota's van de leerlingen van de actieve school (Informat Rekeningen API)."""
+import csv
+import io
+import time
+from datetime import date
+
+from flask import Blueprint, render_template, request, Response, redirect, url_for, flash
+
+from blueprints.auth import login_required
+from rechten import recht_vereist
+from services.facturatie_service import FacturatieService, FacturatieFout, schooljaren
+from tenancy import huidige_school
+
+facturatie_bp = Blueprint('facturatie', __name__)
+
+STATUS_LABELS = {'open': 'Open', 'gedeeltelijk': 'Gedeeltelijk betaald', 'betaald': 'Betaald', 'credit': 'Creditnota'}
+
+
+def _schooljaar():
+    jaren = schooljaren()
+    gekozen = request.args.get('schooljaar') or ''
+    return gekozen if gekozen in jaren else jaren[0], jaren
+
+
+@facturatie_bp.route("/", methods=["GET"])
+@login_required
+@recht_vereist('leerlingfacturatie')
+def overzicht():
+    school = huidige_school()
+    schooljaar, jaren = _schooljaar()
+    rijen, groepen, fout, opgehaald = [], [], None, None
+    if not school.heeft('INFORMAT_ID', 'INFORMAT_SECRET'):
+        fout = "Informat is nog niet ingesteld voor deze school (🔌 Koppelingen › Informat)."
+    else:
+        try:
+            rijen, groepen, t = FacturatieService().facturen(schooljaar, vernieuw=bool(request.args.get('vernieuw')))
+            opgehaald = time.strftime('%d-%m-%Y %H:%M', time.localtime(t))
+        except FacturatieFout as e:
+            fout = str(e)
+        except Exception as e:
+            fout = f"Facturen ophalen mislukt: {e}"
+    return render_template("facturatie.html", rijen=rijen, groepen=groepen, fout=fout, opgehaald=opgehaald,
+                           schooljaar=schooljaar, jaren=jaren, school_naam=school.naam, labels=STATUS_LABELS,
+                           today=date.today())
+
+
+@facturatie_bp.route("/pdf/<toegangsgroep>/<invoice_id>", methods=["GET"])
+@login_required
+@recht_vereist('leerlingfacturatie')
+def pdf(toegangsgroep, invoice_id):
+    try:
+        inhoud = FacturatieService().pdf(toegangsgroep, invoice_id)
+    except FacturatieFout as e:
+        flash(str(e), "error")
+        return redirect(url_for('facturatie.overzicht', schooljaar=request.args.get('schooljaar')))
+    except Exception as e:
+        flash(f"De PDF kon niet opgehaald worden: {e}", "error")
+        return redirect(url_for('facturatie.overzicht', schooljaar=request.args.get('schooljaar')))
+    naam = (request.args.get('naam') or 'factuur').replace('"', '')
+    return Response(inhoud, mimetype='application/pdf',
+                    headers={'Content-Disposition': f'inline; filename="{naam}.pdf"'})
+
+
+@facturatie_bp.route("/export.csv", methods=["GET"])
+@login_required
+@recht_vereist('leerlingfacturatie')
+def export():
+    """CSV met dezelfde filters als de tabel: ?schooljaar=&groep=&status=&zoek="""
+    schooljaar, _ = _schooljaar()
+    try:
+        rijen, _, _ = FacturatieService().facturen(schooljaar)
+    except Exception as e:
+        flash(str(e), "error")
+        return redirect(url_for('facturatie.overzicht', schooljaar=schooljaar))
+    groep, status = request.args.get('groep') or '', request.args.get('status') or ''
+    zoek = (request.args.get('zoek') or '').strip().lower()
+    if groep:
+        rijen = [r for r in rijen if str(r['groep_id']) == groep]
+    if status == 'onbetaald':
+        rijen = [r for r in rijen if r['status'] in ('open', 'gedeeltelijk')]
+    elif status:
+        rijen = [r for r in rijen if r['status'] == status]
+    if zoek:
+        rijen = [r for r in rijen if zoek in ' '.join(str(r[k]) for k in ('naam', 'voornaam', 'stamnummer', 'klas', 'groep', 'ogm')).lower()]
+    bedrag = lambda x: f"{x:.2f}".replace('.', ',')
+    datum = lambda d: d.strftime('%d/%m/%Y') if d else ''
+    buf = io.StringIO()
+    w = csv.writer(buf, delimiter=';')
+    w.writerow(['Naam', 'Voornaam', 'Stamnummer', 'Klas', 'Factuurgroep', 'Soort', 'Datum', 'Vervaldag', 'Totaal', 'Betaald',
+                'Open', 'Status', 'Gestructureerde mededeling'])
+    for r in rijen:
+        w.writerow([r['naam'], r['voornaam'], r['stamnummer'], r['klas'], r['groep'], 'Creditnota' if r['type'] == 'CREDIT_NOTE' else 'Factuur',
+                    datum(r['datum']), datum(r['vervaldag']), bedrag(r['totaal'] * r['teken']), bedrag(r['betaald'] * r['teken']), bedrag(r['open'] * r['teken']),
+                    STATUS_LABELS.get(r['status'], r['status']), r['ogm']])
+    return Response('' + buf.getvalue(), mimetype='text/csv; charset=utf-8', headers={
+        'Content-Disposition': f"attachment; filename=Facturen_{huidige_school().code}_{schooljaar}_{date.today():%Y%m%d}.csv"})
diff --git a/blueprints/gedeelde_drives_bp.py b/blueprints/gedeelde_drives_bp.py
new file mode 100644
index 0000000..481cdeb
--- /dev/null
+++ b/blueprints/gedeelde_drives_bp.py
@@ -0,0 +1,116 @@
+"""Google › Gedeelde drives: overzicht, leden en rechten beheren."""
+import time
+
+from flask import Blueprint, render_template, request, redirect, url_for, flash
+
+from blueprints.auth import login_required
+from rechten import recht_vereist, log
+from services import gedeelde_drives_service as gd
+
+gedeelde_drives_bp = Blueprint('gedeelde_drives', __name__)
+
+
+@gedeelde_drives_bp.route('/', methods=['GET'])
+@login_required
+@recht_vereist('gedeelde_drives')
+def overzicht():
+    drives, fout, opgehaald, gekozen, leden = [], None, None, None, []
+    did = request.args.get('drive') or ''
+    vervang, lid, lid_van = None, (request.args.get('lid') or '').strip().lower(), None
+    try:
+        if lid:
+            lid_van = gd.drives_van(lid)
+        elif request.args.get('oud'):
+            oud, nieuw = request.args.get('oud').strip().lower(), (request.args.get('nieuw') or '').strip().lower()
+            vervang = {'oud': oud, 'nieuw': nieuw, 'drives': gd.drives_van(oud)}
+        elif did:
+            gekozen, leden = gd.drive(did)
+        else:
+            drives, t = gd.overzicht(vernieuw=bool(request.args.get('vernieuw')))
+            opgehaald = time.strftime('%d-%m-%Y %H:%M', time.localtime(t))
+            if request.args.get('vernieuw'):
+                return redirect(url_for('gedeelde_drives.overzicht'))
+    except gd.DriveFout as e:
+        fout = str(e)
+    except Exception as e:
+        fout = gd.vriendelijk(e)
+    return render_template('gedeelde_drives.html', drives=drives, fout=fout, opgehaald=opgehaald, gekozen=gekozen,
+                           leden=leden, rollen=gd.ROLLEN, vervang=vervang, resultaat=None, lid=lid, lid_van=lid_van)
+
+
+@gedeelde_drives_bp.route('/vervangen', methods=['POST'])
+@login_required
+@recht_vereist('gedeelde_drives')
+def vervangen():
+    oud, nieuw = request.form.get('oud'), request.form.get('nieuw')
+    try:
+        res = gd.vervang(oud, nieuw, request.form.getlist('drive'), request.form.get('verwijderen') == '1',
+                         request.form.get('melding') == '1')
+    except gd.DriveFout as e:
+        flash(str(e), "error")
+        return redirect(url_for('gedeelde_drives.overzicht', oud=oud, nieuw=nieuw))
+    ok = sum(1 for r in res if r['ok'])
+    log(f"Gedeelde drives: {oud} vervangen door {nieuw} op {ok} drive(s)")
+    return render_template('gedeelde_drives.html', drives=[], fout=None, opgehaald=None, gekozen=None, leden=[],
+                           rollen=gd.ROLLEN, vervang={'oud': oud, 'nieuw': nieuw, 'drives': []}, resultaat=res,
+                           lid='', lid_van=None)
+
+
+def _terug():
+    return redirect(url_for('gedeelde_drives.overzicht', drive=request.form.get('drive')))
+
+
+@gedeelde_drives_bp.route('/lid/toevoegen', methods=['POST'])
+@login_required
+@recht_vereist('gedeelde_drives')
+def lid_toevoegen():
+    did, email, rol = request.form.get('drive'), request.form.get('email'), request.form.get('rol')
+    try:
+        gd.lid_toevoegen(did, email, rol, request.form.get('melding') == '1')
+        log(f"Gedeelde drive {request.form.get('naam')}: {email} toegevoegd als {gd.ROL_NAAM.get(rol)}")
+        flash(f"{email} toegevoegd als {gd.ROL_NAAM.get(rol)}.", "success")
+    except gd.DriveFout as e:
+        flash(str(e), "error")
+    return _terug()
+
+
+@gedeelde_drives_bp.route('/lid/wijzigen', methods=['POST'])
+@login_required
+@recht_vereist('gedeelde_drives')
+def lid_wijzigen():
+    rol = request.form.get('rol')
+    try:
+        gd.lid_wijzigen(request.form.get('drive'), request.form.get('perm'), rol)
+        log(f"Gedeelde drive {request.form.get('naam')}: {request.form.get('email')} → {gd.ROL_NAAM.get(rol)}")
+        flash(f"{request.form.get('email')} is nu {gd.ROL_NAAM.get(rol)}.", "success")
+    except gd.DriveFout as e:
+        flash(str(e), "error")
+    return _terug()
+
+
+@gedeelde_drives_bp.route('/lid/verwijderen', methods=['POST'])
+@login_required
+@recht_vereist('gedeelde_drives')
+def lid_verwijderen():
+    try:
+        gd.lid_verwijderen(request.form.get('drive'), request.form.get('perm'))
+        log(f"Gedeelde drive {request.form.get('naam')}: {request.form.get('email')} verwijderd")
+        flash(f"{request.form.get('email')} verwijderd uit de drive.", "success")
+    except gd.DriveFout as e:
+        flash(str(e), "error")
+    return _terug()
+
+
+@gedeelde_drives_bp.route('/nieuw', methods=['POST'])
+@login_required
+@recht_vereist('gedeelde_drives')
+def nieuw():
+    naam = request.form.get('naam')
+    try:
+        did = gd.drive_maken(naam, (request.form.get('beheerder') or '').strip() or None)
+        log(f"Gedeelde drive {naam} aangemaakt")
+        flash(f"Gedeelde drive '{naam}' aangemaakt.", "success")
+        return redirect(url_for('gedeelde_drives.overzicht', drive=did))
+    except gd.DriveFout as e:
+        flash(str(e), "error")
+        return redirect(url_for('gedeelde_drives.overzicht'))
diff --git a/blueprints/gmail_delegatie_bp.py b/blueprints/gmail_delegatie_bp.py
new file mode 100644
index 0000000..816aed5
--- /dev/null
+++ b/blueprints/gmail_delegatie_bp.py
@@ -0,0 +1,156 @@
+from flask import Blueprint, render_template, request, redirect, url_for, flash, session, jsonify
+from tenancy import huidige_school, per_school
+from blueprints.auth import login_required
+from rechten import recht_vereist
+from services.gmail_delegation_service import GmailDelegationService, DelegationError, MAX_DELEGATES
+from services.gmail_delegatie_overzicht import DelegatieOverzicht
+
+gmail_delegatie_bp = Blueprint('gmail_delegatie', __name__)
+delegation_service = per_school(GmailDelegationService)
+
+
+_table_ready = set()   # scholen waarvoor de tabellen al gecontroleerd zijn
+
+
+def _ensure_table():
+    if huidige_school().code not in _table_ready:
+        try:
+            delegation_service.ensure_table()
+            _table_ready.add(huidige_school().code)
+        except Exception as e:
+            flash(f"Kon tabel gmail_delegatie_log niet aanmaken: {e}", "error")
+
+
+def _safe_log(actie, mailbox, gedelegeerde):
+    try:
+        delegation_service.log(session.get('user'), actie, mailbox, gedelegeerde)
+    except Exception as e:
+        flash(f"Wijziging is uitgevoerd, maar kon niet gelogd worden: {e}", "warning")
+
+
+#---------------------------------------------
+# Overzicht: mailbox zoeken en gedelegeerden tonen
+#---------------------------------------------
+@gmail_delegatie_bp.route('/', methods=['GET'])
+@login_required
+@recht_vereist('gmail_delegatie')
+def overzicht():
+    _ensure_table()
+    zoek = (request.args.get('zoek') or '').strip()
+    mailbox_param = (request.args.get('mailbox') or '').strip()
+
+    zoekresultaten, mailbox, delegates, fout = [], None, [], None
+
+    # Zoekterm zonder @ = zoeken op naam; met @ = direct die mailbox openen
+    if zoek and '@' not in zoek:
+        zoekresultaten = delegation_service.search_users(zoek)
+        if not zoekresultaten:
+            fout = f"Geen gebruikers gevonden voor '{zoek}'."
+    elif zoek and not mailbox_param:
+        mailbox_param = zoek
+
+    if mailbox_param:
+        try:
+            mailbox = delegation_service.resolve_user(mailbox_param)
+            delegates = delegation_service.list_delegates(mailbox['email'])
+            DelegatieOverzicht().bewaar_mailbox(mailbox['email'], mailbox['naam'], delegates)   # overzicht actueel houden
+        except DelegationError as e:
+            fout = str(e)
+
+    try:
+        geschiedenis = delegation_service.history(mailbox['email'] if mailbox else None)
+    except Exception:
+        geschiedenis = []
+
+    # Alle lopende machtigingen (achtergrondtaak, vanzelf vernieuwd als ze ouder zijn dan een dag)
+    ov = DelegatieOverzicht()
+    machtigingen, laatst, ov_fout = [], None, None
+    try:
+        ov.ensure_table()
+        if ov.verouderd():
+            ov.sync_op_achtergrond()
+        machtigingen, laatst = ov.alle(), ov.laatst_opgehaald()
+    except Exception as e:
+        ov_fout = f"Het overzicht kon niet gelezen worden: {e}"
+
+    return render_template('gmail_delegatie.html', zoek=zoek, zoekresultaten=zoekresultaten,
+                           mailbox=mailbox, delegates=delegates, fout=fout,
+                           geschiedenis=geschiedenis, max_delegates=MAX_DELEGATES,
+                           machtigingen=machtigingen, laatst=laatst, ov_fout=ov_fout, ov_status=ov.status)
+
+
+@gmail_delegatie_bp.route('/overzicht/vernieuwen', methods=['POST'])
+@login_required
+@recht_vereist('gmail_delegatie')
+def overzicht_vernieuwen():
+    if DelegatieOverzicht().sync_op_achtergrond():
+        flash("Alle mailboxen worden nagekeken. Dit kan enkele minuten duren; de tabel vernieuwt vanzelf.", "info")
+    else:
+        flash("Er loopt al een ophaling.", "warning")
+    return redirect(url_for('gmail_delegatie.overzicht'))
+
+
+@gmail_delegatie_bp.route('/overzicht/status.json', methods=['GET'])
+@login_required
+@recht_vereist('gmail_delegatie')
+def overzicht_status():
+    s = DelegatieOverzicht().status
+    return jsonify(bezig=s['bezig'], voortgang=s['voortgang'], totaal=s['totaal'], fout=s['fout'], resultaat=s['resultaat'])
+
+
+def _ververs_mailbox(mailbox):
+    """Na een wijziging: de rijen van deze mailbox in het overzicht opnieuw opvragen."""
+    try:
+        m = delegation_service.resolve_user(mailbox)
+        DelegatieOverzicht().bewaar_mailbox(m['email'], m['naam'], delegation_service.list_delegates(m['email']))
+    except Exception:
+        pass
+
+
+#---------------------------------------------
+# Gedelegeerde toevoegen
+#---------------------------------------------
+@gmail_delegatie_bp.route('/toevoegen', methods=['POST'])
+@login_required
+@recht_vereist('gmail_delegatie')
+def toevoegen():
+    _ensure_table()
+    mailbox_in = request.form.get('mailbox', '')
+    delegate_in = request.form.get('delegate', '')
+    try:
+        mailbox = delegation_service.resolve_user(mailbox_in)
+        delegate = delegation_service.resolve_user(delegate_in)
+        if delegate['geschorst']:
+            raise DelegationError(f"{delegate['email']} is geschorst en kan geen toegang krijgen.")
+        if len(delegation_service.list_delegates(mailbox['email'])) >= MAX_DELEGATES:
+            raise DelegationError(f"{mailbox['email']} heeft al het maximum van {MAX_DELEGATES} gedelegeerden.")
+        delegation_service.add_delegate(mailbox['email'], delegate['email'])
+        _safe_log('toegevoegd', mailbox['email'], delegate['email'])
+        _ververs_mailbox(mailbox['email'])
+        extra = f" (alias {delegate_in.strip()} omgezet naar hoofdadres)" if delegate['is_alias'] else ""
+        flash(f"{delegate['email']} heeft nu toegang tot {mailbox['email']}{extra}. "
+              "Het kan tot een minuut duren voor de mailbox zichtbaar is.", "success")
+        return redirect(url_for('gmail_delegatie.overzicht', mailbox=mailbox['email']))
+    except DelegationError as e:
+        flash(str(e), "error")
+        return redirect(url_for('gmail_delegatie.overzicht', mailbox=mailbox_in.strip()))
+
+
+#---------------------------------------------
+# Gedelegeerde verwijderen
+#---------------------------------------------
+@gmail_delegatie_bp.route('/verwijderen', methods=['POST'])
+@login_required
+@recht_vereist('gmail_delegatie')
+def verwijderen():
+    _ensure_table()
+    mailbox = (request.form.get('mailbox') or '').strip().lower()
+    delegate = (request.form.get('delegate') or '').strip().lower()
+    try:
+        delegation_service.remove_delegate(mailbox, delegate)
+        _safe_log('verwijderd', mailbox, delegate)
+        _ververs_mailbox(mailbox)
+        flash(f"Toegang van {delegate} tot {mailbox} is ingetrokken.", "success")
+    except DelegationError as e:
+        flash(str(e), "error")
+    return redirect(url_for('gmail_delegatie.overzicht', mailbox=mailbox))
diff --git a/blueprints/gmail_labels_bp.py b/blueprints/gmail_labels_bp.py
new file mode 100644
index 0000000..a7cdc4b
--- /dev/null
+++ b/blueprints/gmail_labels_bp.py
@@ -0,0 +1,84 @@
+"""Google › E-mails met een label verplaatsen of kopiëren naar een andere mailbox."""
+from flask import Blueprint, render_template, request, redirect, url_for, flash, session, jsonify
+
+from blueprints.auth import login_required
+from rechten import recht_vereist, log
+from services import gmail_label_service as gl
+from services.gmail_delegation_service import GmailDelegationService, DelegationError
+
+gmail_labels_bp = Blueprint('gmail_labels', __name__)
+
+
+def _mailbox(waarde):
+    """E-mailadres → {'email', 'naam', ...} via Google (hoofdadres, ook als er een alias ingegeven werd)."""
+    return GmailDelegationService().resolve_user(waarde)
+
+
+@gmail_labels_bp.route('/', methods=['GET'])
+@login_required
+@recht_vereist('gmail_labels')
+def overzicht():
+    bron_in = (request.args.get('bron') or '').strip()
+    doel_in = (request.args.get('doel') or '').strip()
+    label_id = (request.args.get('label') or '').strip()
+    bron = doel = None
+    labels, fout, gekozen = [], None, None
+    if bron_in:
+        try:
+            bron = _mailbox(bron_in)
+            labels = gl.labels(bron['email'])
+            gekozen = next((l for l in labels if l['id'] == label_id), None)
+        except (DelegationError, gl.LabelFout) as e:
+            fout = str(e)
+        except Exception as e:
+            fout = gl.vriendelijk(e)
+    if doel_in and not fout:
+        try:
+            doel = _mailbox(doel_in)
+            if bron and doel['email'] == bron['email']:
+                fout, doel = "De doelmailbox moet een andere mailbox zijn dan de bronmailbox.", None
+        except DelegationError as e:
+            fout = str(e)
+    try:
+        geschiedenis = gl.geschiedenis()
+    except Exception:
+        geschiedenis = []
+    return render_template('gmail_labels.html', bron_in=bron_in, doel_in=doel_in, bron=bron, doel=doel,
+                           labels=labels, gekozen=gekozen, fout=fout, status=gl.LabelVerplaatser().status,
+                           geschiedenis=geschiedenis, scope=gl.SCOPE)
+
+
+@gmail_labels_bp.route('/start', methods=['POST'])
+@login_required
+@recht_vereist('gmail_labels')
+def start():
+    f = request.form
+    terug = dict(bron=f.get('bron'), doel=f.get('doel'), label=f.get('label'))
+    modus = 'verplaatsen' if f.get('modus') == 'verplaatsen' else 'kopieren'
+    try:
+        bron, doel = _mailbox(f.get('bron')), _mailbox(f.get('doel'))
+        if bron['email'] == doel['email']:
+            raise DelegationError("De doelmailbox moet een andere mailbox zijn dan de bronmailbox.")
+        label = next((l for l in gl.labels(bron['email']) if l['id'] == f.get('label')), None)
+        if not label:
+            raise gl.LabelFout("Dat label bestaat niet (meer) in de bronmailbox.")
+    except (DelegationError, gl.LabelFout) as e:
+        flash(str(e), "error")
+        return redirect(url_for('gmail_labels.overzicht', **terug))
+    door = session.get('naam') or session.get('user')
+    if gl.LabelVerplaatser().start(bron['email'], label['id'], label['naam'], doel['email'], modus, door):
+        log(f"Gmail: label '{label['naam']}' {modus} van {bron['email']} naar {doel['email']}")
+        flash(f"Gestart: de berichten met label '{label['naam']}' worden {'verplaatst' if modus == 'verplaatsen' else 'gekopieerd'} "
+              f"naar {doel['email']}. Je mag deze pagina sluiten; het gaat verder op de achtergrond.", "info")
+    else:
+        flash("Er loopt al een opdracht. Wacht tot die klaar is.", "warning")
+    return redirect(url_for('gmail_labels.overzicht', **terug))
+
+
+@gmail_labels_bp.route('/status.json', methods=['GET'])
+@login_required
+@recht_vereist('gmail_labels')
+def status():
+    s = gl.LabelVerplaatser().status
+    return jsonify({k: s.get(k) for k in ('bezig', 'voortgang', 'totaal', 'gelukt', 'overgeslagen', 'fouten', 'fout',
+                                          'resultaat', 'opdracht', 'foutvoorbeelden')})
diff --git a/blueprints/google_admin.py b/blueprints/google_admin.py
new file mode 100644
index 0000000..af03787
--- /dev/null
+++ b/blueprints/google_admin.py
@@ -0,0 +1,112 @@
+from flask import Blueprint, request, flash, redirect, url_for, render_template, make_response, jsonify
+from services.google_service import GoogleAdminService
+from blueprints.auth import login_required
+from rechten import recht_vereist
+import rechten
+from config import Config
+from tenancy import per_school
+from datetime import datetime
+import io
+from xhtml2pdf import pisa
+
+google_bp = Blueprint('google', __name__)
+google_service = per_school(GoogleAdminService)
+
+#-------------------------------------------------
+# Passwoord reset route
+#-------------------------------------------------
+@google_bp.route('/reset_pw', methods=['POST'])
+@login_required
+@recht_vereist('google_wachtwoord')
+def reset_pw():
+    email = request.form.get('email')
+    nieuw_wachtwoord = Config.STANDAARD_WACHTWOORD
+
+    if not email:
+        flash("Geen e-mailadres opgegeven.", "error")
+        return redirect(url_for('google.password_reset'))
+
+    success, message = google_service.change_password(email, nieuw_wachtwoord)
+
+    if success:
+        rechten.log(actie=f"PW Reset voor {email}")   # tabel Logs (centrale database)
+        flash(f"Wachtwoord voor {email} is gereset naar {nieuw_wachtwoord}", "success")
+    else:
+        flash(f"Google API Fout: {message}", "error")
+
+    return redirect(url_for('google.password_reset'))
+
+#--------------------------------------------------
+# Route voor pagina google gebruikers
+#--------------------------------------------------
+
+@google_bp.route('/google_account_beheer', methods=['GET', 'POST'])
+@login_required
+@recht_vereist('google_wachtwoord', 'google_accounts')
+def password_reset():
+    results = []
+    query = ""
+    if request.method == 'POST':
+        query = request.form.get('query')
+        results = google_service.search_users(query)
+    return render_template('google_beheer.html', results=results, query=query)
+
+
+# Logica voor apply password
+@google_bp.route('/apply_password', methods=['POST'])
+@login_required
+@recht_vereist('google_wachtwoord')
+def apply_password():
+    email = request.form.get('email')
+    new_password = request.form.get('new_password')
+    
+    success, message = google_service.change_password(email, new_password)
+    if success:
+        return "OK", 200
+    else:
+        return message, 500
+
+# Logica voor google account aanmaken
+@google_bp.route('/aanmaken_google_account', methods=['POST'])
+@login_required
+@recht_vereist('google_accounts')
+def aanmaken_google_account():
+    first_name = request.form.get('first_name')
+    last_name = request.form.get('last_name')
+    password = request.form.get('password')
+    account_type = request.form.get('account_type')
+   
+
+    # Gebruik de config vanuit de service
+    target_ou = Config.OU_NIEUWE_LEERKRACHTEN if account_type == "Leerkracht" else f"/{google_service.conf.OU_NEW_STUDENTS}"
+
+    template_html = "pdf_template_leerkracht.html" if account_type == "Leerkracht" else "pdf_template_leerling.html"
+
+    success, result = google_service.create_user(first_name, last_name, password, target_ou)
+
+    if success:
+        context = {
+            'naam': f"{first_name} {last_name}",
+            'email': result,
+            'wachtwoord': password,
+            'datum': datetime.now().strftime("%d/%m/%Y")
+        }
+        html_string = render_template(template_html, **context)
+        pdf_buffer = io.BytesIO()
+        
+        # Gebruik pisa om de HTML om te zetten naar PDF
+        pisa_status = pisa.CreatePDF(io.StringIO(html_string), dest=pdf_buffer)
+        
+        if pisa_status.err:
+             flash("Fout bij het genereren van PDF", "error")
+             return redirect(url_for('google.password_reset'))
+
+        pdf_buffer.seek(0)
+        response = make_response(pdf_buffer.read())
+        response.headers['Content-Type'] = 'application/pdf'
+        response.headers['Content-Disposition'] = f'inline; filename=account_{first_name}.pdf'
+        return response
+    else:
+        flash(f"Google Fout: {result}", "error")
+        return redirect(url_for('google.password_reset'))
+    
diff --git a/blueprints/google_licenties_bp.py b/blueprints/google_licenties_bp.py
new file mode 100644
index 0000000..1df6fa3
--- /dev/null
+++ b/blueprints/google_licenties_bp.py
@@ -0,0 +1,95 @@
+import csv
+import io
+from datetime import datetime
+from flask import Blueprint, render_template, request, redirect, url_for, flash, session, Response
+from tenancy import huidige_school, per_school
+from blueprints.auth import login_required
+from rechten import recht_vereist
+from services.google_license_service import GoogleLicenseService, SKU_NAMES
+
+google_licenties_bp = Blueprint('google_licenties', __name__)
+license_service = per_school(GoogleLicenseService)
+
+# Tabel aanmaken bij de eerste request (niet bij import, zodat de app ook start zonder DB)
+_table_ready = set()   # scholen waarvoor de tabellen al gecontroleerd zijn
+
+
+def _ensure_table():
+    if huidige_school().code not in _table_ready:
+        try:
+            license_service.ensure_table()
+            _table_ready.add(huidige_school().code)
+        except Exception as e:
+            flash(f"Kon tabel google_licenties niet aanmaken: {e}", "error")
+
+
+#---------------------------------------------
+# Overzichtspagina
+#---------------------------------------------
+@google_licenties_bp.route('/', methods=['GET'])
+@login_required
+@recht_vereist('google_licenties')
+def overzicht():
+    _ensure_table()
+    data, fout = license_service.get_overview(force=request.args.get('vernieuw') == '1')
+    if request.args.get('vernieuw') == '1':
+        return redirect(url_for('google_licenties.overzicht'))
+
+    opgehaald = None
+    if data:
+        opgehaald = datetime.fromtimestamp(data['opgehaald']).strftime('%d-%m-%Y %H:%M')
+    return render_template('google_licenties.html', data=data, fout=fout,
+                           opgehaald=opgehaald, sku_names=SKU_NAMES)
+
+
+#---------------------------------------------
+# Aangekochte aantallen opslaan
+#---------------------------------------------
+@google_licenties_bp.route('/aangekocht', methods=['POST'])
+@login_required
+@recht_vereist('google_licenties')
+def aangekocht_opslaan():
+    _ensure_table()
+    gewijzigd = 0
+    for key, waarde in request.form.items():
+        if not key.startswith('aangekocht_'):
+            continue
+        sku_id = key.replace('aangekocht_', '', 1)
+        if sku_id not in SKU_NAMES:
+            continue
+        waarde = (waarde or '').strip()
+        if waarde == '':
+            continue
+        if not waarde.isdigit():
+            flash(f"Ongeldig aantal voor {SKU_NAMES[sku_id]}: '{waarde}'", "error")
+            continue
+        license_service.set_purchased(sku_id, int(waarde), session.get('user'))
+        gewijzigd += 1
+
+    license_service.clear_cache()
+    if gewijzigd:
+        flash("Aangekochte aantallen opgeslagen.", "success")
+    return redirect(url_for('google_licenties.overzicht'))
+
+
+#---------------------------------------------
+# Export van alle toegewezen licenties
+#---------------------------------------------
+@google_licenties_bp.route('/export.csv', methods=['GET'])
+@login_required
+@recht_vereist('google_licenties')
+def export_csv():
+    data, fout = license_service.get_overview()
+    if fout or not data:
+        flash(fout or "Geen gegevens om te exporteren.", "error")
+        return redirect(url_for('google_licenties.overzicht'))
+
+    buf = io.StringIO()
+    w = csv.writer(buf, delimiter=';')
+    w.writerow(['E-mail', 'Naam', 'Organisatie-eenheid', 'Licentie', 'SKU', 'Geschorst', 'Gearchiveerd', 'Laatste login'])
+    for u in data['users']:
+        w.writerow([u['email'], u['naam'], u['ou'], u['sku_naam'], u['sku_id'],
+                    'ja' if u['geschorst'] else 'nee', 'ja' if u['gearchiveerd'] else 'nee', u['laatste_login']])
+    bestandsnaam = f"google_licenties_{datetime.now():%Y%m%d}.csv"
+    return Response('' + buf.getvalue(), mimetype='text/csv',
+                    headers={'Content-Disposition': f'attachment; filename={bestandsnaam}'})
diff --git a/blueprints/gopro_bp.py b/blueprints/gopro_bp.py
new file mode 100644
index 0000000..1828db5
--- /dev/null
+++ b/blueprints/gopro_bp.py
@@ -0,0 +1,375 @@
+"""
+Scholengroep › GO! Pro: personeelsleden van de actieve school uit Informat, met een rol per personeelslid en
+functie, en een export in de kolommen van het GO! Pro-importbestand.
+"""
+import csv
+import io
+import time
+from datetime import date
+
+from flask import Blueprint, render_template, request, jsonify, Response, session, redirect, url_for, flash
+
+from blueprints.auth import login_required
+from config import Config
+from rechten import recht_vereist
+from services import gopro_service as gp
+from tenancy import huidige_school
+
+gopro_bp = Blueprint('gopro', __name__)
+
+CACHE_SECONDEN = 15 * 60          # Informat niet bij elke klik opnieuw bevragen
+
+
+def _rijen(vernieuw=False):
+    """Personeel van de actieve school (15 minuten bewaard per school). De rollen komen altijd vers uit de database."""
+    school = huidige_school()
+    bewaard = school.cache.get('gopro')
+    if vernieuw or not bewaard or time.time() - bewaard[0] > CACHE_SECONDEN:
+        rijen = gp.GoProService().personeel(school.domein, Config.INSTELLINGSNUMMER)
+        bewaard = (time.time(), rijen)
+        school.cache['gopro'] = bewaard
+    gekozen = gp.keuzes()
+    for r in bewaard[1]:
+        gp.pas_keuzes_toe(r, gekozen)
+    gp.markeer_dubbel(bewaard[1])
+    return bewaard[1], bewaard[0]
+
+
+def _niet_verzameld(rijen, per_soort=False):
+    """Laat de personeelsleden weg die al in de verzameltabel of in de rode lijst (genegeerd) staan.
+    Geeft (rijen, aantal weggelaten) of met per_soort=True (rijen, {'groen': n, 'genegeerd': m})."""
+    sleutels = gp.verzameld_sleutels()
+    code = huidige_school().code
+    over, weg = [], {'groen': 0, 'genegeerd': 0}
+    for r in rijen:
+        soort = gp.is_verzameld(r, code, sleutels)
+        if soort:
+            weg[soort] = weg.get(soort, 0) + 1
+        else:
+            over.append(r)
+    return over, (weg if per_soort else len(rijen) - len(over))
+
+
+@gopro_bp.route("/", methods=["GET"])
+@login_required
+@recht_vereist('gopro')
+def overzicht():
+    school = huidige_school()
+    rijen, fout, opgehaald, verzameld_hier = [], None, None, {'groen': 0, 'genegeerd': 0, 'verzonden': 0}
+    if not school.heeft('INFORMAT_INST_NUMBER', 'INFORMAT_ID', 'INFORMAT_SECRET'):
+        fout = "Informat is nog niet ingesteld voor deze school (🔌 Koppelingen › Informat)."
+    else:
+        try:
+            rijen, t = _rijen(vernieuw=bool(request.args.get('vernieuw')))
+            rijen, verzameld_hier = _niet_verzameld(rijen, per_soort=True)   # verzameld of genegeerd: niet meer tonen
+            opgehaald = time.strftime('%d-%m-%Y %H:%M', time.localtime(t))
+        except Exception as e:
+            fout = str(e)
+    return render_template("gopro.html", rijen=rijen, fout=fout, opgehaald=opgehaald, rollen=gp.ROLLEN,
+                           domein=school.domein, school_naam=school.naam,
+                           dubbel=sum(1 for r in rijen if r['dubbel']), verzameld_hier=verzameld_hier,
+                           verzameld_totaal=len(gp.verzameld_alle()),
+                           genegeerd_totaal=len(gp.verzameld_alle(soort='genegeerd')),
+                           verzonden_school=gp.aantal_verzonden(school.code),
+                           nacht=gp.nacht_instelling(), periode=gp.schooljaar_periode())
+
+
+@gopro_bp.route("/verplaats", methods=["POST"])
+@login_required
+@recht_vereist('gopro')
+def verplaats():
+    """Eén personeelslid met de gegevens uit het venster (aangepast of niet) naar de verzameltabel."""
+    from datetime import datetime as _dt
+    data = request.get_json(silent=True) or {}
+    pid = str(data.get('person_id') or '')
+    try:
+        rijen, _ = _rijen()
+    except Exception as e:
+        return jsonify(ok=False, fout=str(e)), 400
+    rij = next((r for r in rijen if str(r['person_id']) == pid), None)
+    if not rij:
+        return jsonify(ok=False, fout="Personeelslid niet gevonden (haal de lijst opnieuw op)."), 404
+
+    def tekst(veld, maxlen):
+        return str(data.get(veld) or '').strip()[:maxlen]
+
+    def datum(veld):
+        w = tekst(veld, 10)
+        if not w:
+            return None
+        try:
+            return _dt.strptime(w, '%Y-%m-%d').date()
+        except ValueError:
+            raise ValueError(f"Ongeldige datum: {w}")
+
+    try:
+        nieuw = dict(rij)
+        nieuw.update(voornaam=tekst('voornaam', 100), achternaam=tekst('achternaam', 100),
+                     email=tekst('email', 255).lower(), upn=tekst('upn', 255).lower(),
+                     instellingsnummer=tekst('instellingsnummer', 20), functie=tekst('functie', 100),
+                     rol=tekst('rol', 100), start=datum('start'), einde=datum('einde'), telefoon=tekst('telefoon', 50))
+    except ValueError as e:
+        return jsonify(ok=False, fout=str(e)), 400
+    if not nieuw['voornaam'] or not nieuw['achternaam']:
+        return jsonify(ok=False, fout="Voornaam en achternaam zijn verplicht."), 400
+    if nieuw['email'] and '@' not in nieuw['email']:
+        return jsonify(ok=False, fout="Het e-mailadres is niet geldig."), 400
+    if nieuw['start'] and nieuw['einde'] and nieuw['einde'] < nieuw['start']:
+        return jsonify(ok=False, fout="De einddatum ligt voor de startdatum."), 400
+    toegevoegd, _ = gp.verzamel_toevoegen([nieuw], huidige_school(), session.get('naam') or session.get('user'))
+    if not toegevoegd:
+        return jsonify(ok=False, fout=f"{nieuw['email']} staat al in de verzameltabel of op de rode lijst."), 409
+    return jsonify(ok=True, totaal=len(gp.verzameld_alle()))
+
+
+@gopro_bp.route("/nachtelijk", methods=["POST"])
+@login_required
+@recht_vereist('gopro')
+def nachtelijk():
+    """Schakelaar: elke nacht van alle scholen de groene naar de verzameltabel (of ?nu=1: meteen één keer)."""
+    door = session.get('naam') or session.get('user')
+    if request.form.get('nu') == '1':
+        if gp.verzamel_alle_scholen_op_achtergrond(door):
+            flash("De groene personeelsleden van alle scholen worden nu verzameld. Dit kan enkele minuten duren; "
+                  "het resultaat verschijnt onder de schakelaar.", "info")
+        else:
+            flash("Er loopt al een verzameling.", "warning")
+        return redirect(url_for('gopro.overzicht'))
+    aan = request.form.get('aan') == '1'
+    gp.zet_nacht(aan, door)
+    from rechten import log
+    log(f"GO! Pro: nachtelijk verzamelen {'aangezet' if aan else 'uitgezet'}")
+    flash("Elke nacht (tussen 2 en 6 uur) worden de groene personeelsleden van alle scholen automatisch naar de "
+          "verzameltabel gezet." if aan else "Het automatisch verzamelen 's nachts staat uit.", "success")
+    return redirect(url_for('gopro.overzicht'))
+
+
+@gopro_bp.route("/negeer", methods=["POST"])
+@login_required
+@recht_vereist('gopro')
+def negeer():
+    """Eén personeelslid naar de rode lijst: wordt genegeerd (niet geëxporteerd en niet meer getoond)."""
+    data = request.get_json(silent=True) or request.form
+    pid = str(data.get('person_id') or '')
+    try:
+        rijen, _ = _rijen()
+    except Exception as e:
+        return jsonify(ok=False, fout=str(e)), 400
+    rij = next((r for r in rijen if str(r['person_id']) == pid), None)
+    if not rij:
+        return jsonify(ok=False, fout="Personeelslid niet gevonden (haal de lijst opnieuw op)."), 404
+    toegevoegd, _ = gp.verzamel_toevoegen([rij], huidige_school(), session.get('naam') or session.get('user'),
+                                          soort='genegeerd')
+    return jsonify(ok=True, toegevoegd=toegevoegd, totaal=len(gp.verzameld_alle(soort='genegeerd')))
+
+
+@gopro_bp.route("/keuze", methods=["POST"])
+@login_required
+@recht_vereist('gopro')
+def keuze():
+    """Bewaart de gekozen functie of rol van één personeelslid (veld = functie | rol)."""
+    data = request.get_json(silent=True) or request.form
+    pid, veld = data.get('person_id') or '', data.get('veld') or ''
+    try:
+        gp.keuze_opslaan(pid, veld, data.get('waarde') or '', session.get('user'))
+    except ValueError as e:
+        return jsonify(ok=False, fout=str(e)), 400
+    # De waarde die nu geldt (bij een leeg gemaakt e-mail/UPN-veld: weer het standaardadres)
+    waarde = data.get('waarde')
+    bewaard = huidige_school().cache.get('gopro')
+    if bewaard and veld in ('email', 'upn'):
+        rij = next((r for r in bewaard[1] if r['person_id'] == pid), None)
+        if rij:
+            gp.pas_keuzes_toe(rij, gp.keuzes())
+            waarde = rij[veld]
+    return jsonify(ok=True, waarde=waarde)
+
+
+@gopro_bp.route("/google.json", methods=["POST"])
+@login_required
+@recht_vereist('gopro')
+def google_check():
+    """Welke van de doorgestuurde adressen bestaan in Google Workspace: {adres: 'primair' | 'alias'}."""
+    data = request.get_json(silent=True) or {}
+    gevraagd = [str(a).strip().lower() for a in data.get('adressen') or [] if a][:5000]
+    try:
+        bestaand = gp.google_adressen(vernieuw=bool(data.get('vernieuw')))
+    except Exception as e:
+        return jsonify(ok=False, fout=f"Google kon niet bevraagd worden: {e}"), 200
+    return jsonify(ok=True, adressen={a: bestaand[a] for a in set(gevraagd) if a in bestaand})
+
+
+@gopro_bp.route("/export.csv", methods=["GET"])
+@login_required
+@recht_vereist('gopro')
+def export():
+    """CSV in de kolommen van het GO! Pro-importbestand (; als scheidingsteken, UTF-8, datums dd/mm/jjjj)."""
+    try:
+        rijen, _ = _rijen()
+        rijen, _ = _niet_verzameld(rijen)
+    except Exception as e:
+        flash(str(e), "error")
+        return redirect(url_for('gopro.overzicht'))
+    # ?kleur=account|alias|geen → enkel die rijen, net als de kleurfilter op de pagina
+    kleur = request.args.get('kleur') or ''
+    if kleur in ('account', 'alias', 'geen'):
+        try:
+            google = gp.google_adressen()
+        except Exception as e:
+            flash(f"Google kon niet bevraagd worden, dus de kleurfilter kan niet toegepast worden: {e}", "error")
+            return redirect(url_for('gopro.overzicht'))
+        rijen = [r for r in rijen if gp.google_kleur(r, google) == kleur]
+    datum = lambda d: d.strftime('%d/%m/%Y') if d else ''
+    buf = io.StringIO()
+    w = csv.writer(buf, delimiter=';')
+    w.writerow(gp.EXPORT_KOLOMMEN)
+    for r in rijen:
+        w.writerow([r['voornaam'], r['achternaam'], r['email'], r['upn'], r['email'], r['instellingsnummer'],
+                    r['functie'], r['rol'], datum(r['start']), datum(r['einde']), r['telefoon']])
+    return Response('\ufeff' + buf.getvalue(), mimetype='text/csv; charset=utf-8', headers={
+        'Content-Disposition': f"attachment; filename=GO_Pro_{huidige_school().code}"
+                               f"{'_' + {'account': 'met_account', 'alias': 'alias', 'geen': 'zonder_account'}[kleur] if kleur in ('account', 'alias', 'geen') else ''}"
+                               f"_{date.today():%Y%m%d}.csv"})
+
+
+def _csv(rijen, bestandsnaam):
+    """CSV in de kolommen van het GO! Pro-importbestand. `rijen` = [(voornaam, achternaam, email, upn, instelling,
+    functie, rol, start, einde, telefoon)]."""
+    datum = lambda d: d.strftime('%d/%m/%Y') if d else ''
+    buf = io.StringIO()
+    w = csv.writer(buf, delimiter=';')
+    w.writerow(gp.EXPORT_KOLOMMEN)
+    for vn, an, em, upn, inst, fu, rol, st, ei, tel in rijen:
+        w.writerow([vn, an, em, upn, em, inst, fu, rol, datum(st), datum(ei), tel])
+    return Response('\ufeff' + buf.getvalue(), mimetype='text/csv; charset=utf-8',
+                    headers={'Content-Disposition': f"attachment; filename={bestandsnaam}"})
+
+
+# ---------------------------------------------------------------------
+# Verzameltabel: de groene personeelsleden van alle scholen samen
+# ---------------------------------------------------------------------
+@gopro_bp.route("/verzamel", methods=["POST"])
+@login_required
+@recht_vereist('gopro')
+def verzamel():
+    """Zet alle personeelsleden met een account in Google (groen) van de actieve school in de verzameltabel."""
+    school = huidige_school()
+    try:
+        rijen, _ = _rijen()
+        rijen, _ = _niet_verzameld(rijen)
+        google = gp.google_adressen()
+    except Exception as e:
+        flash(f"Kon niet verzamelen: {e}", "error")
+        return redirect(url_for('gopro.overzicht'))
+    groen = [r for r in rijen if gp.google_kleur(r, google) == 'account']
+    if not groen:
+        flash("Er zijn geen (nieuwe) groene personeelsleden om toe te voegen.", "warning")
+        return redirect(url_for('gopro.overzicht'))
+    toegevoegd, overgeslagen = gp.verzamel_toevoegen(groen, school, session.get('naam') or session.get('user'))
+    from rechten import log
+    log(f"GO! Pro: {toegevoegd} personeelsleden van {school.code} naar de verzameltabel")
+    flash(f"{toegevoegd} personeelsleden van {school.naam} toegevoegd aan de verzameltabel"
+          f"{f' ({overgeslagen} stonden er al in met hetzelfde e-mailadres)' if overgeslagen else ''}. "
+          "Ze worden hier niet meer getoond.", "success")
+    return redirect(url_for('gopro.overzicht'))
+
+
+LIJSTEN = {'groen': 'groen', 'rood': 'genegeerd', 'verzonden': 'verzonden'}
+LIJSTNAMEN = {'groen': 'de verzameltabel', 'rood': 'de rode lijst', 'verzonden': 'de lijst met verzonden personeelsleden'}
+
+
+def _lijst(waarde):
+    return waarde if waarde in LIJSTEN else 'groen'
+
+
+@gopro_bp.route("/verzameltabel", methods=["GET"])
+@login_required
+@recht_vereist('gopro')
+def verzameltabel():
+    """?lijst=rood → de rode lijst (genegeerd), ?lijst=verzonden → al verzonden, anders de groene verzameltabel."""
+    lijst = _lijst(request.args.get('lijst'))
+    rijen = gp.verzameld_alle(soort=LIJSTEN[lijst])
+    scholen = sorted({(r['School_code'], r['School_naam'] or r['School_code']) for r in rijen}, key=lambda x: x[1].lower())
+    aantal = {k: (len(rijen) if k == lijst else len(gp.verzameld_alle(soort=v))) for k, v in LIJSTEN.items()}
+    return render_template("gopro_verzameld.html", rijen=rijen, scholen=scholen, rollen=gp.ROLLEN,
+                           huidige=huidige_school().code, lijst=lijst, rood=lijst == 'rood',
+                           verzonden=lijst == 'verzonden', aantal=aantal,
+                           aantal_groen=aantal['groen'], aantal_rood=aantal['rood'])
+
+
+@gopro_bp.route("/verzameltabel/naar-rood", methods=["POST"])
+@login_required
+@recht_vereist('gopro')
+def verzameltabel_naar_rood():
+    """Eén personeelslid uit de verzameltabel naar de rode lijst (genegeerd: niet exporteren, nooit meer tonen)."""
+    from database import central_query
+    from rechten import log
+    gp.verzamel_ensure()
+    n = central_query("UPDATE GoPro_verzameltabel SET Soort = 'genegeerd', Door = %s, Toegevoegd = NOW() "
+                      "WHERE ID = %s AND Soort = 'groen'",
+                      (session.get('naam') or session.get('user'), request.form.get('id')), commit=True)
+    if n:
+        log(f"GO! Pro: {request.form.get('naam')} van de verzameltabel naar de rode lijst")
+    melding = (f"{request.form.get('naam')} staat nu op de rode lijst." if n
+               else "Dit personeelslid staat niet (meer) in de verzameltabel.")
+    if request.headers.get('X-Requested-With') == 'fetch':          # vanuit de tabel: zoekopdracht blijft staan
+        return jsonify(ok=bool(n), melding=melding)
+    flash(melding, "success" if n else "error")
+    return redirect(url_for('gopro.verzameltabel'))
+
+
+@gopro_bp.route("/verzameltabel/verzonden", methods=["POST"])
+@login_required
+@recht_vereist('gopro')
+def verzameltabel_verzonden():
+    """De verzameltabel (of één school, school=...) markeren als verzonden naar GO! Pro."""
+    from rechten import log
+    code = request.form.get('school') or None
+    n = gp.markeer_verzonden(session.get('naam') or session.get('user'), code)
+    log(f"GO! Pro: {n} personeelsleden{' van ' + code if code else ''} gemarkeerd als verzonden")
+    flash(f"{n} personeelsleden gemarkeerd als verzonden. Ze worden niet meer aan de verzameltabel toegevoegd.", "success")
+    return redirect(url_for('gopro.verzameltabel'))
+
+
+@gopro_bp.route("/verzameltabel/export.csv", methods=["GET"])
+@login_required
+@recht_vereist('gopro')
+def verzameltabel_export():
+    """Eén CSV voor GO! Pro met alle scholen (of ?school=code voor één school)."""
+    code = request.args.get('school') or None
+    lijst = 'verzonden' if request.args.get('lijst') == 'verzonden' else 'groen'
+    rijen = gp.verzameld_alle(code, LIJSTEN[lijst])
+    return _csv([(r['Voornaam'], r['Achternaam'], r['Email'], r['UPN'], r['Instellingsnummer'], r['Functie'], r['Rol'],
+                  r['Startdatum'], r['Einddatum'], r['Telefoon']) for r in rijen],
+                f"GO_Pro_{'verzonden_' if lijst == 'verzonden' else ''}{code or 'alle_scholen'}_{date.today():%Y%m%d}.csv")
+
+
+@gopro_bp.route("/verzameltabel/verwijderen", methods=["POST"])
+@login_required
+@recht_vereist('gopro')
+def verzameltabel_verwijderen():
+    """Eén rij (id=...), alle rijen van één school (school=...) of alles (alles=1) uit de verzameltabel halen.
+    Die personeelsleden verschijnen dan weer op de GO! Pro-pagina van hun school."""
+    from database import central_query
+    from rechten import log
+    gp.verzamel_ensure()
+    lijst = _lijst(request.form.get('lijst'))
+    soort, naam = LIJSTEN[lijst], LIJSTNAMEN[lijst]
+    if request.form.get('id'):
+        n = central_query("DELETE FROM GoPro_verzameltabel WHERE ID = %s AND Soort = %s",
+                          (request.form.get('id'), soort), commit=True)
+        if request.headers.get('X-Requested-With') == 'fetch':      # vanuit de tabel: zoekopdracht blijft staan
+            return jsonify(ok=bool(n), melding=f"Personeelslid uit {naam} gehaald." if n else "Niet (meer) gevonden.")
+        flash(f"Personeelslid uit {naam} gehaald.", "success")
+    elif request.form.get('school'):
+        code = request.form.get('school')
+        n = len(gp.verzameld_alle(code, soort))
+        central_query("DELETE FROM GoPro_verzameltabel WHERE School_code = %s AND Soort = %s", (code, soort), commit=True)
+        log(f"GO! Pro: {n} rijen van {code} uit {naam} gehaald")
+        flash(f"{n} personeelsleden van deze school uit {naam} gehaald.", "success")
+    elif request.form.get('alles') == '1':
+        n = len(gp.verzameld_alle(soort=soort))
+        central_query("DELETE FROM GoPro_verzameltabel WHERE Soort = %s", (soort,), commit=True)
+        log(f"GO! Pro: {naam} leeggemaakt ({n} rijen)")
+        flash(f"{naam[0].upper() + naam[1:]} leeggemaakt ({n} personeelsleden).", "success")
+    return redirect(url_for('gopro.verzameltabel', lijst=None if lijst == 'groen' else lijst))
diff --git a/blueprints/handleidingen_bp.py b/blueprints/handleidingen_bp.py
new file mode 100644
index 0000000..989e150
--- /dev/null
+++ b/blueprints/handleidingen_bp.py
@@ -0,0 +1,273 @@
+"""
+📘 Handleidingen: stappenplannen voor het beheer (bv. Google Admin).
+
+- Lezen: iedereen met een PIVOT-account (handleidingen met Zichtbaar = 'admins' enkel administrators).
+  Leerkrachten die enkel met Google inloggen (zonder PIVOT-account) zien ze niet.
+- Aanmaken, bewerken, verwijderen, vorige versie terugzetten: enkel administrators.
+
+Handleidingen staan in de centrale database: ze gelden voor alle scholen.
+Elke opslag bewaart de vorige tekst in Handleidingen_versies.
+"""
+import re
+import unicodedata
+
+from flask import Blueprint, render_template, request, redirect, url_for, flash, session, abort
+
+import rechten
+from blueprints.auth import login_required
+from database import central_query, central_insert
+from rechten import admin_vereist, is_admin
+from services.html_schoon import schoon
+
+handleidingen_bp = Blueprint('handleidingen', __name__)
+
+ZICHTBAAR = {'iedereen': 'Iedereen met een PIVOT-account', 'admins': 'Enkel administrators'}
+MAX_VERSIES = 30
+
+
+def mag_lezen():
+    return is_admin() or bool(session.get('gebruiker_id'))
+
+
+def _zichtbaar_filter():
+    return ("Zichtbaar IN ('iedereen', 'admins')" if is_admin() else "Zichtbaar = 'iedereen'")
+
+
+def lijst():
+    """Zichtbare handleidingen voor de ingelogde gebruiker (ook gebruikt door het dashboard)."""
+    if not mag_lezen():
+        return []
+    try:
+        return central_query(f"SELECT Handleiding_ID, Slug, Titel, Categorie, Samenvatting, Zichtbaar, Gewijzigd_op, "
+                             f"Gewijzigd_door FROM Handleidingen WHERE {_zichtbaar_filter()} "
+                             f"ORDER BY Volgorde, Titel")
+    except Exception:
+        return []
+
+
+def _maak_slug(titel, behalve=None):
+    s = unicodedata.normalize('NFKD', titel).encode('ascii', 'ignore').decode().lower()
+    s = re.sub(r'[^a-z0-9]+', '-', s).strip('-')[:80] or 'handleiding'
+    if s == 'nieuw':          # botst met de route /handleidingen/nieuw
+        s = 'nieuw-1'
+    kandidaat, n = s, 2
+    while central_query("SELECT 1 FROM Handleidingen WHERE Slug = %s AND Handleiding_ID <> %s",
+                        (kandidaat, behalve or 0)):
+        kandidaat, n = f"{s}-{n}", n + 1
+    return kandidaat
+
+
+def _haal(slug):
+    rows = central_query(f"SELECT * FROM Handleidingen WHERE Slug = %s AND {_zichtbaar_filter()}", (slug,))
+    return rows[0] if rows else None
+
+
+def _inhoudstafel(html):
+    """[(id, tekst, niveau)] van de h2/h3-koppen; koppen zonder id krijgen er een."""
+    gezien, toc = set(), []
+
+    def vervang(m):
+        tag, attrs, tekst = m.group(1), m.group(2) or '', m.group(3)
+        platte = re.sub(r'<[^>]+>', '', tekst).strip()
+        idm = re.search(r'id="([^"]+)"', attrs)
+        hid = idm.group(1) if idm else (re.sub(r'[^a-z0-9]+', '-', platte.lower()).strip('-') or 'kop')
+        basis, n = hid, 2
+        while hid in gezien:
+            hid, n = f"{basis}-{n}", n + 1
+        gezien.add(hid)
+        toc.append((hid, platte, int(tag[1])))
+        attrs = re.sub(r'\s*id="[^"]*"', '', attrs)
+        return f'<{tag} id="{hid}"{attrs}>{tekst}</{tag}>'
+
+    html = re.sub(r'<(h[23])((?:\s[^>]*)?)>(.*?)</\1>', vervang, schoon(html or ''), flags=re.S)
+    return html, toc
+
+
+# ------------------------------------------------------------------
+# Lezen
+# ------------------------------------------------------------------
+@handleidingen_bp.route('/', methods=['GET'])
+@login_required
+def overzicht():
+    if not mag_lezen():
+        flash("Handleidingen zijn enkel beschikbaar voor PIVOT-gebruikers.", "error")
+        return redirect(url_for('main.dashboard'))
+    q = (request.args.get('q') or '').strip()
+    items = lijst()
+    if q:
+        treffers = {r['Handleiding_ID'] for r in central_query(
+            f"SELECT Handleiding_ID FROM Handleidingen WHERE {_zichtbaar_filter()} AND "
+            "(Titel LIKE %s OR Samenvatting LIKE %s OR Inhoud LIKE %s)", (f"%{q}%",) * 3)}
+        items = [h for h in items if h['Handleiding_ID'] in treffers]
+    per_cat = {}
+    for h in items:
+        per_cat.setdefault(h['Categorie'] or 'Algemeen', []).append(h)
+    return render_template('handleidingen.html', per_cat=per_cat, q=q, ZICHTBAAR=ZICHTBAAR)
+
+
+@handleidingen_bp.route('/<slug>', methods=['GET'])
+@login_required
+def bekijk(slug):
+    if not mag_lezen():
+        return redirect(url_for('main.dashboard'))
+    h = _haal(slug)
+    if not h:
+        flash("Deze handleiding bestaat niet (meer).", "error")
+        return redirect(url_for('handleidingen.overzicht'))
+    inhoud, toc = _inhoudstafel(h['Inhoud'])
+    return render_template('handleiding.html', h=h, inhoud=inhoud, toc=toc, ZICHTBAAR=ZICHTBAAR)
+
+
+# ------------------------------------------------------------------
+# Bewerken (enkel administrators)
+# ------------------------------------------------------------------
+def _formulier():
+    titel = (request.form.get('titel') or '').strip()[:200]
+    return {
+        'Titel': titel,
+        'Categorie': (request.form.get('categorie') or '').strip()[:100] or None,
+        'Samenvatting': (request.form.get('samenvatting') or '').strip()[:300] or None,
+        'Inhoud': schoon(request.form.get('inhoud') or ''),
+        'Zichtbaar': request.form.get('zichtbaar') if request.form.get('zichtbaar') in ZICHTBAAR else 'iedereen',
+        'Volgorde': request.form.get('volgorde', type=int) or 0,
+    }
+
+
+def _te_groot(e):
+    t = str(e)
+    if 'max_allowed_packet' in t or 'too large' in t.lower() or '1153' in t:
+        return (": de handleiding is te groot voor de database (te veel of te grote afbeeldingen). Verdeel ze over "
+                "meerdere handleidingen, of verhoog max_allowed_packet in MySQL.")
+    return f": {t}"
+
+
+def _categorieen():
+    return [r['Categorie'] for r in central_query(
+        "SELECT DISTINCT Categorie FROM Handleidingen WHERE Categorie IS NOT NULL AND Zichtbaar <> 'weg' ORDER BY Categorie")]
+
+
+@handleidingen_bp.route('/nieuw', methods=['GET', 'POST'])
+@login_required
+@admin_vereist
+def nieuw():
+    if request.method == 'POST':
+        f = _formulier()
+        if not f['Titel']:
+            flash("Geef de handleiding een titel.", "error")
+            return render_template('handleiding_bewerken.html', h=f, nieuw=True, categorieen=_categorieen(),
+                                   ZICHTBAAR=ZICHTBAAR, versies=[])
+        slug = _maak_slug(f['Titel'])
+        try:
+            central_insert("INSERT INTO Handleidingen (Slug, Titel, Categorie, Samenvatting, Inhoud, Zichtbaar, "
+                           "Volgorde, Gewijzigd_op, Gewijzigd_door) VALUES (%s, %s, %s, %s, %s, %s, %s, NOW(), %s)",
+                           (slug, f['Titel'], f['Categorie'], f['Samenvatting'], f['Inhoud'], f['Zichtbaar'],
+                            f['Volgorde'], session.get('user')))
+        except Exception as e:
+            flash(f"Opslaan mislukt{_te_groot(e)}", "error")
+            return render_template('handleiding_bewerken.html', h=f, nieuw=True, categorieen=_categorieen(),
+                                   ZICHTBAAR=ZICHTBAAR, versies=[])
+        rechten.log(actie=f"Handleiding '{f['Titel']}' aangemaakt")
+        flash("Handleiding aangemaakt.", "success")
+        return redirect(url_for('handleidingen.bekijk', slug=slug))
+    leeg = {'Titel': '', 'Categorie': request.args.get('categorie') or '', 'Samenvatting': '', 'Inhoud': '',
+            'Zichtbaar': 'iedereen', 'Volgorde': 100}
+    return render_template('handleiding_bewerken.html', h=leeg, nieuw=True, categorieen=_categorieen(),
+                           ZICHTBAAR=ZICHTBAAR, versies=[])
+
+
+@handleidingen_bp.route('/<slug>/bewerken', methods=['GET', 'POST'])
+@login_required
+@admin_vereist
+def bewerken(slug):
+    h = _haal(slug)
+    if not h:
+        abort(404)
+    if request.method == 'POST':
+        f = _formulier()
+        if not f['Titel']:
+            flash("De titel mag niet leeg zijn.", "error")
+            return redirect(url_for('handleidingen.bewerken', slug=slug))
+        if f['Titel'] != h['Titel'] or f['Inhoud'] != (h['Inhoud'] or ''):
+            central_query("INSERT INTO Handleidingen_versies (Handleiding_ID, Titel, Inhoud, Opgeslagen_op, Door) "
+                          "VALUES (%s, %s, %s, %s, %s)",
+                          (h['Handleiding_ID'], h['Titel'], h['Inhoud'], h['Gewijzigd_op'], h['Gewijzigd_door']),
+                          commit=True)
+            _versies_opruimen(h['Handleiding_ID'])
+        try:
+            central_query("UPDATE Handleidingen SET Titel = %s, Categorie = %s, Samenvatting = %s, Inhoud = %s, "
+                          "Zichtbaar = %s, Volgorde = %s, Gewijzigd_op = NOW(), Gewijzigd_door = %s "
+                          "WHERE Handleiding_ID = %s",
+                          (f['Titel'], f['Categorie'], f['Samenvatting'], f['Inhoud'], f['Zichtbaar'], f['Volgorde'],
+                           session.get('user'), h['Handleiding_ID']), commit=True)
+        except Exception as e:
+            flash(f"Opslaan mislukt{_te_groot(e)}", "error")
+            return redirect(url_for('handleidingen.bewerken', slug=slug))
+        rechten.log(actie=f"Handleiding '{f['Titel']}' bewerkt")
+        flash("Handleiding opgeslagen.", "success")
+        if request.form.get('verder'):
+            return redirect(url_for('handleidingen.bewerken', slug=slug))
+        return redirect(url_for('handleidingen.bekijk', slug=slug))
+    versies = central_query("SELECT Versie_ID, Titel, Opgeslagen_op, Door FROM Handleidingen_versies "
+                            "WHERE Handleiding_ID = %s ORDER BY Opgeslagen_op DESC, Versie_ID DESC",
+                            (h['Handleiding_ID'],))
+    h['Inhoud'] = schoon(h['Inhoud'] or '')
+    return render_template('handleiding_bewerken.html', h=h, nieuw=False, categorieen=_categorieen(),
+                           ZICHTBAAR=ZICHTBAAR, versies=versies)
+
+
+def _versies_opruimen(hid):
+    oud = central_query("SELECT Versie_ID FROM Handleidingen_versies WHERE Handleiding_ID = %s "
+                        "ORDER BY Opgeslagen_op DESC, Versie_ID DESC", (hid,))[MAX_VERSIES:]
+    for r in oud:
+        central_query("DELETE FROM Handleidingen_versies WHERE Versie_ID = %s", (r['Versie_ID'],), commit=True)
+
+
+@handleidingen_bp.route('/<slug>/versie/<int:vid>', methods=['GET'])
+@login_required
+@admin_vereist
+def versie(slug, vid):
+    h = _haal(slug)
+    rows = central_query("SELECT * FROM Handleidingen_versies WHERE Versie_ID = %s AND Handleiding_ID = %s",
+                         (vid, h['Handleiding_ID'] if h else 0))
+    if not h or not rows:
+        abort(404)
+    v = rows[0]
+    inhoud, toc = _inhoudstafel(v['Inhoud'])
+    return render_template('handleiding.html', h=h, inhoud=inhoud, toc=toc, versie=v, ZICHTBAAR=ZICHTBAAR)
+
+
+@handleidingen_bp.route('/<slug>/versie/<int:vid>/terugzetten', methods=['POST'])
+@login_required
+@admin_vereist
+def terugzetten(slug, vid):
+    h = _haal(slug)
+    rows = central_query("SELECT * FROM Handleidingen_versies WHERE Versie_ID = %s AND Handleiding_ID = %s",
+                         (vid, h['Handleiding_ID'] if h else 0))
+    if not h or not rows:
+        abort(404)
+    v = rows[0]
+    central_query("INSERT INTO Handleidingen_versies (Handleiding_ID, Titel, Inhoud, Opgeslagen_op, Door) "
+                  "VALUES (%s, %s, %s, %s, %s)",
+                  (h['Handleiding_ID'], h['Titel'], h['Inhoud'], h['Gewijzigd_op'], h['Gewijzigd_door']), commit=True)
+    central_query("UPDATE Handleidingen SET Titel = %s, Inhoud = %s, Gewijzigd_op = NOW(), Gewijzigd_door = %s "
+                  "WHERE Handleiding_ID = %s", (v['Titel'], v['Inhoud'], session.get('user'), h['Handleiding_ID']),
+                  commit=True)
+    _versies_opruimen(h['Handleiding_ID'])
+    rechten.log(actie=f"Handleiding '{v['Titel']}': versie van {v['Opgeslagen_op']:%d-%m-%Y %H:%M} teruggezet")
+    flash(f"Versie van {v['Opgeslagen_op']:%d-%m-%Y %H:%M} teruggezet. De vorige tekst staat bij de versies.", "success")
+    return redirect(url_for('handleidingen.bekijk', slug=slug))
+
+
+@handleidingen_bp.route('/<slug>/verwijderen', methods=['POST'])
+@login_required
+@admin_vereist
+def verwijderen(slug):
+    h = _haal(slug)
+    if not h:
+        abort(404)
+    # Verbergen i.p.v. wissen: zo komt een meegeleverde handleiding niet terug bij het opstarten
+    central_query("UPDATE Handleidingen SET Zichtbaar = 'weg', Gewijzigd_op = NOW(), Gewijzigd_door = %s "
+                  "WHERE Handleiding_ID = %s", (session.get('user'), h['Handleiding_ID']), commit=True)
+    rechten.log(actie=f"Handleiding '{h['Titel']}' verwijderd")
+    flash(f"Handleiding '{h['Titel']}' verwijderd.", "success")
+    return redirect(url_for('handleidingen.overzicht'))
diff --git a/blueprints/handtekeningen_bp.py b/blueprints/handtekeningen_bp.py
new file mode 100644
index 0000000..f78110f
--- /dev/null
+++ b/blueprints/handtekeningen_bp.py
@@ -0,0 +1,179 @@
+"""Gmail › Handtekeningen: sjabloon, logo, OU's, functie/telefoon (Google) en toepassen in Gmail."""
+import time
+
+from flask import Blueprint, render_template, request, redirect, url_for, flash, session, jsonify, Response, abort
+
+from blueprints.auth import login_required
+from rechten import recht_vereist, log
+from services import handtekening_service as hs
+from tenancy import huidige_school, school_op_code, in_school
+
+handtekeningen_bp = Blueprint('handtekeningen', __name__)
+handtekening_logo_bp = Blueprint('handtekening_logo', __name__)   # publiek (Gmail haalt het logo op)
+
+CACHE_SECONDEN = 5 * 60
+
+
+def _door():
+    return session.get('naam') or session.get('user')
+
+
+def _gebruikers(inst, vernieuw=False):
+    school = huidige_school()
+    sleutel = ('handtekening_gebruikers', tuple(inst['ous']), bool(inst.get('Met_sub_ous')))
+    bewaard = school.cache.get('handtekening_gebruikers')
+    if bewaard and not vernieuw and bewaard[0] == sleutel and time.time() - bewaard[1] < CACHE_SECONDEN:
+        return bewaard[2]
+    lijst = hs.gebruikers(inst['ous'], bool(inst.get('Met_sub_ous')))
+    school.cache['handtekening_gebruikers'] = (sleutel, time.time(), lijst)
+    return lijst
+
+
+@handtekeningen_bp.route('/', methods=['GET'])
+@login_required
+@recht_vereist('gmail_handtekeningen')
+def overzicht():
+    inst = hs.instellingen()
+    fout_ou = fout_gebruikers = None
+    try:
+        ous = hs.ou_lijst()
+    except hs.HandtekeningFout as e:
+        ous, fout_ou = inst['ous'], str(e)
+    gebruikers = []
+    if inst['ous']:
+        try:
+            gebruikers = _gebruikers(inst, vernieuw=bool(request.args.get('vernieuw')))
+        except Exception as e:
+            fout_gebruikers = str(e)
+    if request.args.get('vernieuw'):
+        return redirect(url_for('handtekeningen.overzicht'))
+    logboek = hs.logboek()
+    return render_template('handtekeningen.html', inst=inst, ous=ous, fout_ou=fout_ou, gebruikers=gebruikers,
+                           fout_gebruikers=fout_gebruikers, logboek=logboek, velden=hs.VELDEN,
+                           standaard_sjabloon=hs.STANDAARD_SJABLOON, max_tekens=hs.MAX_TEKENS,
+                           publiek_voorstel=request.host_url.rstrip('/'), status=hs.Toepasser().status,
+                           school_gegevens=hs.gegevens({}))
+
+
+@handtekeningen_bp.route('/sjabloon', methods=['POST'])
+@login_required
+@recht_vereist('gmail_handtekeningen')
+def sjabloon():
+    hs.ensure_tables()
+    try:
+        hs.bewaar(request.form.get('sjabloon'), request.form.getlist('ou'), request.form.get('met_sub') == '1',
+                  request.form.get('logo_url'), request.form.get('logo_breedte') or 120,
+                  request.form.get('publiek_adres'), _door())
+        bestand = request.files.get('logo')
+        if bestand and bestand.filename:
+            hs.bewaar_logo(bestand.read(), bestand.mimetype)
+        elif request.form.get('logo_wissen') == '1':
+            hs.verwijder_logo()
+        huidige_school().cache.pop('handtekening_gebruikers', None)
+        log("Gmail-handtekening: sjabloon en instellingen bewaard")
+        flash("Handtekening en instellingen bewaard. Klik op ▶ Toepassen om ze in Gmail te zetten.", "success")
+    except hs.HandtekeningFout as e:
+        flash(str(e), "error")
+    except Exception as e:
+        flash(f"Bewaren mislukt: {e}", "error")
+    return redirect(url_for('handtekeningen.overzicht'))
+
+
+@handtekeningen_bp.route('/voorbeeld', methods=['POST'])
+@login_required
+@recht_vereist('gmail_handtekeningen')
+def voorbeeld():
+    """Live voorbeeld met het (nog niet bewaarde) sjabloon uit de editor en de gegevens van één gebruiker."""
+    d = request.get_json(silent=True) or {}
+    inst = hs.instellingen()
+    if d.get('logo_url') is not None:
+        inst['Logo_url'] = (d.get('logo_url') or '').strip() or None
+    if d.get('publiek_adres') is not None:
+        inst['Publiek_adres'] = (d.get('publiek_adres') or '').strip().rstrip('/') or None
+    try:
+        inst['Logo_breedte'] = int(d.get('logo_breedte') or inst.get('Logo_breedte') or 120)
+    except ValueError:
+        pass
+    inst['logo_link'] = hs.logo_link(inst)
+    # In het voorbeeld het geüploade logo via de eigen (ingelogde) sessie tonen, ook als het publiek adres nog niet klopt
+    if not inst.get('Logo_url') and inst.get('heeft_logo') and inst.get('Logo_sleutel'):
+        inst['logo_link'] = url_for('handtekening_logo.logo', code=huidige_school().code, sleutel=inst['Logo_sleutel'],
+                                    ext=hs.LOGO_TYPES.get(inst.get('Logo_type'), 'png'))
+    g = d.get('gebruiker') or {}
+    tekst = hs.vul_in(d.get('sjabloon') if d.get('sjabloon') is not None else inst.get('Sjabloon'), hs.gegevens(g), inst)
+    return jsonify(ok=True, html=tekst, tekens=len(tekst))
+
+
+@handtekeningen_bp.route('/gebruiker', methods=['POST'])
+@login_required
+@recht_vereist('gmail_handtekeningen')
+def gebruiker():
+    """Functie en telefoon van één gebruiker in Google bewaren."""
+    d = request.get_json(silent=True) or {}
+    email = (d.get('email') or '').strip().lower()
+    functie, telefoon = (d.get('functie') or '').strip()[:100], (d.get('telefoon') or '').strip()[:40]
+    if not email:
+        return jsonify(ok=False, fout="Geen gebruiker."), 400
+    try:
+        hs.bewaar_in_google(email, functie, telefoon)
+    except hs.HandtekeningFout as e:
+        return jsonify(ok=False, fout=str(e)), 400
+    bewaard = huidige_school().cache.get('handtekening_gebruikers')
+    if bewaard:
+        for u in bewaard[2]:
+            if u['email'] == email:
+                u.update(functie=functie, telefoon=telefoon)
+    log(f"Gmail-handtekening: functie/telefoon van {email} aangepast in Google")
+    return jsonify(ok=True)
+
+
+@handtekeningen_bp.route('/toepassen', methods=['POST'])
+@login_required
+@recht_vereist('gmail_handtekeningen')
+def toepassen():
+    d = request.get_json(silent=True) or {}
+    emails = None if d.get('alle') else [e for e in (d.get('emails') or []) if isinstance(e, str)]
+    if emails is not None and not emails:
+        return jsonify(ok=False, fout="Niemand geselecteerd."), 400
+    if not hs.Toepasser().start(emails, _door()):
+        return jsonify(ok=False, fout="Er loopt al een opdracht."), 409
+    log(f"Gmail-handtekening toepassen ({'iedereen' if emails is None else len(emails)})")
+    return jsonify(ok=True)
+
+
+@handtekeningen_bp.route('/status.json', methods=['GET'])
+@login_required
+@recht_vereist('gmail_handtekeningen')
+def status():
+    s = dict(hs.Toepasser().status)
+    if not s['bezig']:
+        s['logboek'] = {k: {'ok': bool(v['Ok']), 'melding': v['Melding'] or '',
+                            'op': v['Toegepast'].strftime('%d-%m-%Y %H:%M')} for k, v in hs.logboek().items()}
+    return jsonify(s)
+
+
+@handtekeningen_bp.route('/nachtelijk', methods=['POST'])
+@login_required
+@recht_vereist('gmail_handtekeningen')
+def nachtelijk():
+    aan = request.form.get('aan') == '1'
+    hs.zet_nacht(aan, _door())
+    log(f"Gmail-handtekening: nachtelijk opnieuw toepassen {'aan' if aan else 'uit'}")
+    flash("Elke nacht wordt de handtekening opnieuw gezet bij wie ze gewijzigd heeft." if aan
+          else "Het nachtelijk opnieuw toepassen staat uit.", "success")
+    return redirect(url_for('handtekeningen.overzicht'))
+
+
+# ---------------------------------------------------------------------
+# Publiek: het logo (Gmail haalt het op via een link; geen aanmelding)
+# ---------------------------------------------------------------------
+@handtekening_logo_bp.route('/handtekening-logo/<code>/<sleutel>.<ext>', methods=['GET'])
+def logo(code, sleutel, ext):
+    school = school_op_code(code)
+    if not school or not sleutel.isalnum():
+        abort(404)
+    with in_school(school):
+        data, soort = hs.logo_bestand(sleutel)
+    if not data:
+        abort(404)
+    return Response(bytes(data), mimetype=soort, headers={'Cache-Control': 'public, max-age=86400'})
diff --git a/blueprints/internaat_bp.py b/blueprints/internaat_bp.py
new file mode 100644
index 0000000..a8a3f9e
--- /dev/null
+++ b/blueprints/internaat_bp.py
@@ -0,0 +1,229 @@
+"""Internaat: lijst van alle internen van de actieve school (Informat Internaat WEB API)."""
+import csv
+import io
+import time
+from datetime import date
+
+from flask import Blueprint, render_template, request, Response, redirect, url_for, flash
+
+from blueprints.auth import login_required
+from rechten import recht_vereist
+from services.facturatie_service import schooljaren
+from services.internaat_service import InternaatService, InternaatFout
+from tenancy import huidige_school
+
+internaat_bp = Blueprint('internaat', __name__)
+
+
+def _keuzes():
+    jaren = schooljaren()
+    schooljaar = request.args.get('schooljaar') if request.args.get('schooljaar') in jaren else jaren[0]
+    try:
+        peildatum = date.fromisoformat(request.args.get('peildatum') or '')
+    except ValueError:
+        peildatum = date.today()
+    return schooljaar, jaren, peildatum
+
+
+@internaat_bp.route("/internen", methods=["GET"])
+@login_required
+@recht_vereist('internen')
+def internen():
+    school = huidige_school()
+    schooljaar, jaren, peildatum = _keuzes()
+    rijen, fout, opgehaald = [], None, None
+    if not school.heeft('INFORMAT_ID', 'INFORMAT_SECRET'):
+        fout = "Informat is nog niet ingesteld voor deze school (🔌 Koppelingen › Informat)."
+    else:
+        try:
+            rijen, t = InternaatService().internen(schooljaar, peildatum, vernieuw=bool(request.args.get('vernieuw')))
+            opgehaald = time.strftime('%d-%m-%Y %H:%M', time.localtime(t))
+        except InternaatFout as e:
+            fout = str(e)
+        except Exception as e:
+            fout = f"Internen ophalen mislukt: {e}"
+    internaten = sorted({r['internaat'] for r in rijen})
+    return render_template("internen.html", rijen=rijen, fout=fout, opgehaald=opgehaald, schooljaar=schooljaar,
+                           jaren=jaren, peildatum=peildatum, internaten=internaten, school_naam=school.naam)
+
+
+@internaat_bp.route("/internen/smartschool.json", methods=["POST"])
+@login_required
+@recht_vereist('internen')
+def internen_smartschool():
+    """Welke internen bestaan als gebruiker in Smartschool? {pid: gebruikersnaam | null}"""
+    from flask import jsonify
+    from services.internaat_service import smartschool_status
+    personen = (request.get_json(silent=True) or {}).get('personen') or []
+    try:
+        return jsonify(ok=True, status=smartschool_status(personen[:2000]))
+    except InternaatFout as e:
+        return jsonify(ok=False, fout=str(e))
+    except Exception as e:
+        return jsonify(ok=False, fout=f"Smartschool kon niet bevraagd worden: {e}")
+
+
+@internaat_bp.route("/internen/export.csv", methods=["GET"])
+@login_required
+@recht_vereist('internen')
+def export():
+    schooljaar, _, peildatum = _keuzes()
+    try:
+        rijen, _ = InternaatService().internen(schooljaar, peildatum)
+    except Exception as e:
+        flash(str(e), "error")
+        return redirect(url_for('internaat.internen', schooljaar=schooljaar))
+    internaat = request.args.get('internaat') or ''
+    zoek = (request.args.get('zoek') or '').strip().lower()
+    if internaat:
+        rijen = [r for r in rijen if r['internaat'] == internaat]
+    if zoek:
+        rijen = [r for r in rijen if zoek in ' '.join(str(r[k]) for k in ('naam', 'voornaam', 'stamnummer', 'kamer', 'vestiging', 'gemeente')).lower()]
+    datum = lambda d: d.strftime('%d/%m/%Y') if d else ''
+    buf = io.StringIO()
+    w = csv.writer(buf, delimiter=';')
+    w.writerow(['Naam', 'Voornaam', 'Geboortedatum', 'Geslacht', 'Stamnummer', 'Internaat', 'Vestiging', 'Kamer',
+                'Ingeschreven van', 'Ingeschreven tot', 'Financiering', 'Woonplaats', 'Contact 1', 'Gsm 1', 'E-mail 1',
+                'Contact 2', 'Gsm 2', 'E-mail 2', 'Smartschool'])
+    ss_cache = huidige_school().cache.get('ss_internen') or {}
+    def ss(r):
+        hit = ss_cache.get((str(r['id']), r['voornaam'], r['naam']))
+        return '' if not hit else (hit[1] or 'niet gevonden')
+    for r in rijen:
+        o = (r['ouders'] + [{}, {}])[:2]
+        w.writerow([r['naam'], r['voornaam'], datum(r['geboortedatum']), r['geslacht'], r['stamnummer'], r['internaat'],
+                    r['vestiging'], r['kamer'], datum(r['begin']), datum(r['einde']), r['financiering'], r['gemeente']]
+                   + sum(([f"{x.get('naam', '')} ({x['type']})" if x.get('type') else x.get('naam', ''), x.get('gsm', ''),
+                           x.get('email', '')] for x in o), []) + [ss(r)])
+    return Response('' + buf.getvalue(), mimetype='text/csv; charset=utf-8', headers={
+        'Content-Disposition': f"attachment; filename=Internen_{huidige_school().code}_{peildatum:%Y%m%d}.csv"})
+
+
+# ---------------------------------------------------------------------
+# Aanwezigheden (register per week: ochtend en avond)
+# ---------------------------------------------------------------------
+from datetime import timedelta
+from flask import jsonify, session
+from services import aanwezigheid_service as aw
+
+
+def _week():
+    try:
+        d = date.fromisoformat(request.args.get('week') or '')
+    except ValueError:
+        d = date.today()
+    return aw.maandag_van(d)
+
+
+def _internen_van_week(maandag):
+    """Internen die in de week ingeschreven zijn (peildatum: vandaag als die in de week valt, anders woensdag)."""
+    vandaag = date.today()
+    peildatum = vandaag if maandag <= vandaag <= maandag + timedelta(days=6) else maandag + timedelta(days=2)
+    rijen, _ = InternaatService().internen(aw.schooljaar_van(peildatum), peildatum)
+    meerdere = len({r['internaat'] for r in rijen}) > 1
+    for r in rijen:
+        r['groep'] = aw.groep_van(r, meerdere)
+        r['pid'] = str(r['id'])
+    return rijen
+
+
+@internaat_bp.route("/aanwezigheden", methods=["GET"])
+@login_required
+@recht_vereist('internaat_aanwezigheid')
+def aanwezigheden():
+    school = huidige_school()
+    maandag = _week()
+    rijen, fout, data = [], None, {}
+    try:
+        rijen = _internen_van_week(maandag)
+        data = aw.week(maandag)
+    except InternaatFout as e:
+        fout = str(e)
+    except Exception as e:
+        fout = f"Internen ophalen mislukt: {e}"
+    groepen = {}
+    for r in sorted(rijen, key=lambda r: (r['groep'].lower(), r['naam'].lower(), r['voornaam'].lower())):
+        groepen.setdefault(r['groep'], []).append(r)
+    dagen = [maandag + timedelta(days=i) for i in range(7)]
+    return render_template("aanwezigheden.html", groepen=groepen, data=data, dagen=dagen, maandag=maandag,
+                           fout=fout, school_naam=school.naam, vandaag=date.today(), dagnamen=aw.DAGEN,
+                           dagnamen_voluit=aw.DAGEN_VOLUIT, aantal=len(rijen),
+                           vorige=maandag - timedelta(days=7), volgende=maandag + timedelta(days=7),
+                           weeknr=maandag.isocalendar()[1])
+
+
+@internaat_bp.route("/aanwezigheden/zet", methods=["POST"])
+@login_required
+@recht_vereist('internaat_aanwezigheid')
+def aanwezigheid_zet():
+    d = request.get_json(silent=True) or {}
+    try:
+        datum = date.fromisoformat(str(d.get('datum') or ''))
+        aw.zet(datum, str(d.get('persoon') or '')[:64], d.get('moment'), d.get('status'), d.get('naam'),
+               session.get('naam') or session.get('user'))
+    except ValueError as e:
+        return jsonify(ok=False, fout=str(e) or 'Ongeldige gegevens.'), 400
+    except Exception as e:
+        return jsonify(ok=False, fout=f"Bewaren mislukt: {e}"), 500
+    return jsonify(ok=True)
+
+
+@internaat_bp.route("/aanwezigheden/export.xlsx", methods=["GET"])
+@login_required
+@recht_vereist('internaat_aanwezigheid')
+def aanwezigheden_export():
+    """Excel van de week, met dezelfde filters als op het scherm (?groep=&zoek=)."""
+    from openpyxl import Workbook
+    from openpyxl.styles import Font, PatternFill, Alignment
+    maandag = _week()
+    try:
+        rijen = _internen_van_week(maandag)
+        data = aw.week(maandag)
+    except Exception as e:
+        flash(str(e), "error")
+        return redirect(url_for('internaat.aanwezigheden', week=maandag.isoformat()))
+    groep, zoek = request.args.get('groep') or '', (request.args.get('zoek') or '').strip().lower()
+    rijen = [r for r in rijen if (not groep or r['groep'] == groep)
+             and (not zoek or zoek in f"{r['naam']} {r['voornaam']}".lower())]
+    rijen.sort(key=lambda r: (r['groep'].lower(), r['naam'].lower(), r['voornaam'].lower()))
+    labels = {'aanwezig': 'Aanwezig', 'afwezig': 'Afwezig'}
+    kleur = {'aanwezig': PatternFill('solid', fgColor='D7EDDF'), 'afwezig': PatternFill('solid', fgColor='F6D5CF')}
+    wb = Workbook()
+    ws = wb.active
+    ws.title = f"Week {maandag.isocalendar()[1]}"
+    kop = ['Naam', 'Voornaam', 'Groep', 'Kamer']
+    for i, dag in enumerate(aw.DAGEN_VOLUIT):
+        d = maandag + timedelta(days=i)
+        kop += [f"{dag} {d:%d/%m} ochtend", f"{dag} {d:%d/%m} avond"]
+    ws.append(kop)
+    for c in ws[1]:
+        c.font = Font(bold=True)
+        c.alignment = Alignment(wrap_text=True, vertical='top')
+    vorige_groep = None
+    for r in rijen:
+        if r['groep'] != vorige_groep:
+            ws.append([f"Groep: {r['groep']}"])
+            ws.cell(ws.max_row, 1).font = Font(bold=True)
+            vorige_groep = r['groep']
+        rij = [r['naam'], r['voornaam'], r['groep'], r['kamer']]
+        for i in range(7):
+            for m in aw.MOMENTEN:
+                rij.append(labels.get(data.get(f"{r['pid']}:{i}:{m}"), ''))
+        ws.append(rij)
+        for c in ws[ws.max_row][4:]:
+            for k, f in kleur.items():
+                if c.value == labels[k]:
+                    c.fill = f
+    ws.column_dimensions['A'].width = 22
+    ws.column_dimensions['B'].width = 16
+    ws.column_dimensions['C'].width = 16
+    ws.column_dimensions['D'].width = 22
+    from openpyxl.utils import get_column_letter
+    for i in range(5, 5 + 14):
+        ws.column_dimensions[get_column_letter(i)].width = 13
+    ws.freeze_panes = 'C2'
+    buf = io.BytesIO()
+    wb.save(buf)
+    return Response(buf.getvalue(), mimetype='application/vnd.openxmlformats-officedocument.spreadsheetml.sheet',
+                    headers={'Content-Disposition': f"attachment; filename=Aanwezigheden_{huidige_school().code}_"
+                                                    f"{maandag:%Y}-W{maandag.isocalendar()[1]:02d}.xlsx"})
diff --git a/blueprints/ipblokkade_bp.py b/blueprints/ipblokkade_bp.py
new file mode 100644
index 0000000..9354acb
--- /dev/null
+++ b/blueprints/ipblokkade_bp.py
@@ -0,0 +1,285 @@
+"""
+Beheer › IP-blokkades. Geldt voor alle scholen.
+
+- Administrators zien en beheren alles (blokkeren, altijd toestaan, schakelaar, testen).
+- Een gewone gebruiker met het recht 'ip_whitelist' ziet enkel de toegestane adressen van de actieve school,
+  kan een adres toevoegen (school = actieve school, opmerking = zijn naam) en enkel zijn eigen regels verwijderen.
+"""
+import functools
+
+from flask import Blueprint, render_template, request, flash, redirect, url_for, session
+
+from blueprints.auth import login_required
+from database import central_query
+from rechten import admin_vereist, recht_vereist, is_admin, log
+from services import ipblokkade as ipb
+from tenancy import alle_scholen, school_op_code, huidige_school
+
+ipblokkade_bp = Blueprint('ipblokkade', __name__)
+
+
+def _schoolnaam(code):
+    s = school_op_code(code, ook_inactief=True)
+    return s.naam if s else code
+
+
+def admin_of_whitelist(view):
+    """Administrators altijd (ook zonder gekozen school); anderen met het recht 'ip_whitelist' in de actieve school."""
+    beschermd = recht_vereist('ip_whitelist')(view)
+
+    @functools.wraps(view)
+    def wrapped(*a, **kw):
+        return view(*a, **kw) if session.get('auth') and is_admin() else beschermd(*a, **kw)
+    return wrapped
+
+
+# Gewone gebruikers mogen hoogstens zo'n reeks toestaan (een ruimere reeks laat te veel adressen altijd binnen)
+MAX_PREFIX_GEBRUIKER = {4: 24, 6: 64}
+
+
+def _eigen(r):
+    """Mag de ingelogde (gewone) gebruiker deze regel verwijderen? Enkel als hij hem zelf toevoegde."""
+    gid = session.get('gebruiker_id')
+    return bool(gid) and r.get('Gebruiker_ID') == gid and r.get('Soort') == 'toestaan'
+
+
+def _gekozen_scholen():
+    """De aangevinkte scholen uit het formulier (enkel bestaande schoolcodes)."""
+    return ipb.scholen_waarde(c for c in request.form.getlist('scholen') if school_op_code(c, ook_inactief=True))
+
+
+@ipblokkade_bp.route("/", methods=["GET"])
+@login_required
+@admin_of_whitelist
+def overzicht():
+    ipb.ensure_table()
+    rijen = central_query("SELECT * FROM IP_blokkades ORDER BY Soort, Reeks") or []
+    if not is_admin():
+        return _overzicht_gebruiker(rijen)
+    import ipaddress
+    for r in rijen:     # sorteersleutel: numeriek op adres (zodat 9.x vóór 85.x komt), dan op grootte van de reeks
+        try:
+            net = ipaddress.ip_network(r['Reeks'], strict=False)
+            r['Sorteer'] = f"{net.version}-{int(net.network_address):040d}-{net.prefixlen:03d}"
+        except ValueError:
+            r['Sorteer'] = r['Reeks']
+        r['Scholen_codes'] = ipb.scholen_codes(r.get('Scholen'))
+        r['Scholen_namen'] = sorted((_schoolnaam(c) for c in r['Scholen_codes']), key=str.lower)
+    test_ip = (request.args.get('test') or '').strip()
+    test = None
+    if test_ip:
+        try:
+            lijst = ipb.regels(vers=True)
+            geweigerd, rid = ipb.beoordeel(test_ip, lijst)
+            regel = next((r for r in rijen if r['ID'] == rid), None)
+            test = {'ip': test_ip, 'geweigerd': geweigerd, 'regel': regel}
+        except Exception as e:
+            flash(f"Test mislukt: {e}", "error")
+    modus = ipb.instelling(ipb.MODUS_SLEUTEL)
+    teller = ipb.instelling(ipb.TELLER_SLEUTEL)
+    scholen = sorted(alle_scholen(ook_inactief=True), key=lambda s: s.naam.lower())
+    return render_template("ipblokkade.html", rijen=rijen, mijn_ip=request.remote_addr, test=test, scholen=scholen,
+                           blokkeren=[r for r in rijen if r['Soort'] == 'blokkeren'],
+                           toestaan=[r for r in rijen if r['Soort'] == 'toestaan'],
+                           enkel_toegestaan=bool(modus and modus['Waarde'] == '1'), modus=modus,
+                           lokaal=ipb.is_lokaal(request.remote_addr),
+                           modus_geweigerd=int(teller['Waarde']) if teller and str(teller['Waarde']).isdigit() else 0)
+
+
+def _overzicht_gebruiker(rijen):
+    """Gewone gebruiker: enkel de toegestane adressen van de actieve school."""
+    school = huidige_school()
+    eigen_school = [r for r in rijen if r['Soort'] == 'toestaan' and school.code in ipb.scholen_codes(r.get('Scholen'))]
+    import ipaddress
+    for r in eigen_school:
+        try:
+            net = ipaddress.ip_network(r['Reeks'], strict=False)
+            r['Sorteer'] = f"{net.version}-{int(net.network_address):040d}-{net.prefixlen:03d}"
+        except ValueError:
+            r['Sorteer'] = r['Reeks']
+        r['Eigen'] = _eigen(r)
+    return render_template("ipblokkade_school.html", rijen=eigen_school, school_naam=school.naam,
+                           mijn_ip=request.remote_addr, lokaal=ipb.is_lokaal(request.remote_addr),
+                           naam=session.get('naam') or session.get('user'))
+
+
+@ipblokkade_bp.route("/modus", methods=["POST"])
+@login_required
+@admin_vereist
+def modus():
+    """Schakelaar: enkel nog adressen uit "Altijd toestaan" binnenlaten."""
+    ipb.ensure_table()
+    aan = request.form.get('aan') == '1'
+    if aan:
+        mijn = request.remote_addr
+        if ipb.is_lokaal(mijn):
+            flash(f"PIVOT ziet jouw adres als {mijn}. Dan draait PIVOT achter een reverse proxy (of test je lokaal) en "
+                  "lijkt elke bezoeker van dat adres te komen: de witte lijst zou dan niets tegenhouden of iedereen "
+                  "buitensluiten. Zet eerst in config.ini › [algemeen] proxy_aantal = 1 en herstart PIVOT; bij "
+                  "'Jouw IP-adres' moet je echte adres verschijnen.", "error")
+            return redirect(url_for('ipblokkade.overzicht'))
+        lijst = ipb.regels(vers=True)
+        if not any(sz == 'toestaan' for _, sz, _ in lijst):
+            flash("Voeg eerst minstens één adres of reeks toe bij 'Altijd toestaan'.", "error")
+            return redirect(url_for('ipblokkade.overzicht'))
+        if ipb.beoordeel(mijn, lijst, enkel_toe=True)[0]:
+            flash(f"Jouw eigen adres ({mijn}) staat niet bij 'Altijd toestaan': dan sluit je jezelf buiten. "
+                  "Voeg het eerst toe.", "error")
+            return redirect(url_for('ipblokkade.overzicht'))
+    ipb.zet_enkel_toegestaan(aan, session.get('user'))
+    flash("Enkel nog adressen uit 'Altijd toestaan' worden binnengelaten." if aan
+          else "Iedereen wordt weer binnengelaten, behalve de geblokkeerde adressen.", "success" if not aan else "warning")
+    return redirect(url_for('ipblokkade.overzicht'))
+
+
+@ipblokkade_bp.route("/toevoegen", methods=["POST"])
+@login_required
+@admin_of_whitelist
+def toevoegen():
+    if not is_admin():
+        return _toevoegen_gebruiker()
+    soort = 'toestaan' if request.form.get('soort') == 'toestaan' else 'blokkeren'
+    try:
+        net = ipb.normaliseer(request.form.get('reeks'))
+    except ipb.OngeldigeReeks as e:
+        flash(str(e), "error")
+        return redirect(url_for('ipblokkade.overzicht'))
+    ipb.ensure_table()
+    if soort == 'blokkeren':
+        # Niet jezelf buitensluiten: weigeren als je eigen adres erin valt (tenzij het uitdrukkelijk toegestaan is)
+        lijst = ipb.regels(vers=True) + [(0, 'blokkeren', net)]
+        if ipb.beoordeel(request.remote_addr, lijst)[0]:
+            flash(f"Deze reeks bevat je eigen IP-adres ({request.remote_addr}): dan sluit je jezelf buiten. "
+                  "Voeg eerst je eigen adres toe als uitzondering (toestaan), of kies een kleinere reeks.", "error")
+            return redirect(url_for('ipblokkade.overzicht'))
+    bestaat = central_query("SELECT ID FROM IP_blokkades WHERE Reeks = %s AND Soort = %s", (str(net), soort))
+    if bestaat:
+        flash(f"{net} staat al in de lijst.", "warning")
+        return redirect(url_for('ipblokkade.overzicht'))
+    # Bij "Altijd toestaan" kan je aanduiden bij welke school/scholen het adres hoort (enkel ter info in de tabel)
+    scholen = _gekozen_scholen() if soort == 'toestaan' else None
+    central_query("INSERT INTO IP_blokkades (Reeks, Soort, Opmerking, Scholen, Aangemaakt, Door, Gebruiker_ID) "
+                  "VALUES (%s, %s, %s, %s, NOW(), %s, %s)",
+                  (str(net), soort, (request.form.get('opmerking') or '').strip()[:255] or None,
+                   scholen, session.get('user'), session.get('gebruiker_id')),
+                  commit=True)
+    ipb.vergeet_cache()
+    aantal = net.num_addresses
+    getal = f"{aantal:,}".replace(',', '.')
+    flash(f"{net} toegevoegd ({'geblokkeerd' if soort == 'blokkeren' else 'altijd toegestaan'}"
+          f"{', ' + ', '.join(_schoolnaam(c) for c in ipb.scholen_codes(scholen)) if scholen else ''}, {getal} adres{'sen' if aantal != 1 else ''}).", "success")
+    return redirect(url_for('ipblokkade.overzicht'))
+
+
+def _toevoegen_gebruiker():
+    """Gewone gebruiker: enkel 'Altijd toestaan', school = actieve school, opmerking = zijn naam."""
+    terug = redirect(url_for('ipblokkade.overzicht'))
+    try:
+        net = ipb.normaliseer(request.form.get('reeks'))
+    except ipb.OngeldigeReeks as e:
+        flash(str(e), "error")
+        return terug
+    grens = MAX_PREFIX_GEBRUIKER[net.version]
+    if net.prefixlen < grens:
+        flash(f"{net} is een te grote reeks. Je kan één adres toevoegen of hoogstens een /{grens}-reeks "
+              f"(bv. {'85.12.3.' if net.version == 4 else 'een /64'}). Vraag een administrator voor een grotere reeks.", "error")
+        return terug
+    ipb.ensure_table()
+    school = huidige_school()
+    naam = (session.get('naam') or session.get('user') or '').strip()[:255] or None
+    bestaat = central_query("SELECT ID, Scholen FROM IP_blokkades WHERE Reeks = %s AND Soort = 'toestaan'", (str(net),))
+    if bestaat:
+        codes = ipb.scholen_codes(bestaat[0]['Scholen'])
+        if school.code in codes:
+            flash(f"{net} staat al in de lijst van {school.naam}.", "warning")
+        else:
+            # Al toegestaan voor een andere school: deze school erbij zetten (de regel blijft van wie hem maakte)
+            central_query("UPDATE IP_blokkades SET Scholen = %s WHERE ID = %s",
+                          (ipb.scholen_waarde(codes + [school.code]), bestaat[0]['ID']), commit=True)
+            flash(f"{net} was al toegestaan voor een andere school en staat nu ook bij {school.naam}.", "success")
+        return terug
+    central_query("INSERT INTO IP_blokkades (Reeks, Soort, Opmerking, Scholen, Aangemaakt, Door, Gebruiker_ID) "
+                  "VALUES (%s, 'toestaan', %s, %s, NOW(), %s, %s)",
+                  (str(net), naam, school.code, session.get('user'), session.get('gebruiker_id')), commit=True)
+    ipb.vergeet_cache()
+    log(f"IP toegestaan voor {school.code}: {net}")
+    flash(f"{net} toegevoegd aan de toegestane adressen van {school.naam}.", "success")
+    return terug
+
+
+@ipblokkade_bp.route("/leegmaken", methods=["POST"])
+@login_required
+@admin_vereist
+def leegmaken():
+    """Verwijdert alle 'blokkeren'-regels. 'Altijd toestaan' en de schakelaar blijven ongemoeid."""
+    ipb.ensure_table()
+    rij = central_query("SELECT COUNT(*) AS n FROM IP_blokkades WHERE Soort = 'blokkeren'")
+    aantal = int(rij[0]['n']) if rij else 0
+    if not aantal:
+        flash("De bloklijst is al leeg.", "warning")
+        return redirect(url_for('ipblokkade.overzicht'))
+    central_query("DELETE FROM IP_blokkades WHERE Soort = 'blokkeren'", commit=True)
+    ipb.vergeet_cache()
+    try:
+        from rechten import log
+        log(f"Bloklijst IP-blokkades leeggemaakt ({aantal} regels)")
+    except Exception:
+        pass
+    flash(f"Bloklijst leeggemaakt: {aantal} regel{'s' if aantal != 1 else ''} verwijderd.", "success")
+    return redirect(url_for('ipblokkade.overzicht'))
+
+
+@ipblokkade_bp.route("/<int:regel_id>/bewerken", methods=["POST"])
+@login_required
+@admin_vereist
+def bewerken(regel_id):
+    """Reeks, scholen en opmerking van een bestaande regel aanpassen (de soort blijft dezelfde)."""
+    terug = redirect(url_for('ipblokkade.overzicht'))
+    ipb.ensure_table()
+    rij = central_query("SELECT ID, Soort FROM IP_blokkades WHERE ID = %s", (regel_id,))
+    if not rij:
+        flash("Deze regel bestaat niet meer.", "error")
+        return terug
+    soort = rij[0]['Soort']
+    try:
+        net = ipb.normaliseer(request.form.get('reeks'))
+    except ipb.OngeldigeReeks as e:
+        flash(str(e), "error")
+        return terug
+    if central_query("SELECT ID FROM IP_blokkades WHERE Reeks = %s AND Soort = %s AND ID <> %s", (str(net), soort, regel_id)):
+        flash(f"{net} staat al in de lijst.", "warning")
+        return terug
+    # Niet jezelf buitensluiten: met de aangepaste regel moet je eigen adres nog binnen mogen
+    mijn = request.remote_addr
+    nieuw = [r for r in ipb.regels(vers=True) if r[0] != regel_id] + [(regel_id, soort, net)]
+    if ipb.beoordeel(mijn, nieuw, enkel_toe=ipb.enkel_toegestaan())[0] and not ipb.beoordeel(mijn, ipb.regels())[0]:
+        flash(f"Met deze aanpassing zou je eigen IP-adres ({mijn}) geweigerd worden: dan sluit je jezelf buiten.", "error")
+        return terug
+    central_query("UPDATE IP_blokkades SET Reeks = %s, Opmerking = %s, Scholen = %s WHERE ID = %s",
+                  (str(net), (request.form.get('opmerking') or '').strip()[:255] or None,
+                   _gekozen_scholen() if soort == 'toestaan' else None, regel_id), commit=True)
+    ipb.vergeet_cache()
+    flash(f"{net} bijgewerkt.", "success")
+    return terug
+
+
+@ipblokkade_bp.route("/<int:regel_id>/verwijderen", methods=["POST"])
+@login_required
+@admin_of_whitelist
+def verwijderen(regel_id):
+    if not is_admin():
+        rij = central_query("SELECT ID, Soort, Gebruiker_ID FROM IP_blokkades WHERE ID = %s", (regel_id,))
+        if not rij or not _eigen(rij[0]):
+            flash("Je kan enkel adressen verwijderen die je zelf toegevoegd hebt.", "error")
+            return redirect(url_for('ipblokkade.overzicht'))
+    # Staat de witte-lijstmodus aan, dan mag je de regel die jou zelf binnenlaat niet verwijderen
+    if ipb.enkel_toegestaan(vers=True):
+        rest = [r for r in ipb.regels(vers=True) if r[0] != regel_id]
+        if ipb.beoordeel(request.remote_addr, rest, enkel_toe=True)[0]:
+            flash("Deze regel laat jou zelf binnen terwijl enkel 'Altijd toestaan' geldt: verwijderen zou je "
+                  "buitensluiten. Zet eerst de schakelaar uit of voeg je adres apart toe.", "error")
+            return redirect(url_for('ipblokkade.overzicht'))
+    central_query("DELETE FROM IP_blokkades WHERE ID = %s", (regel_id,), commit=True)
+    ipb.vergeet_cache()
+    flash("Regel verwijderd.", "success")
+    return redirect(url_for('ipblokkade.overzicht'))
diff --git a/blueprints/leerlingenaantal_bp.py b/blueprints/leerlingenaantal_bp.py
new file mode 100644
index 0000000..b255e88
--- /dev/null
+++ b/blueprints/leerlingenaantal_bp.py
@@ -0,0 +1,273 @@
+"""
+Scholengroep: leerlingenaantallen van alle scholen in PIVOT.
+
+Elke school wordt geteld met haar EIGEN Informat-koppeling (instellingsnummer,
+client-ID en secret uit het scholenregister). Het resultaat wordt bewaard in de
+centrale database, zodat elke school het overzicht van de scholengroep ziet.
+
+- Huidig aantal: peildatum vandaag + 1 maand (kolommen in Scholen).
+- Telling op peildatum: een gekozen datum (bv. 1 februari), bewaard in Leerlingenaantal_tellingen,
+  zodat je ze later opnieuw kan bekijken en exporteren.
+"""
+import csv
+import io
+import json
+from datetime import date, datetime
+
+from flask import Blueprint, render_template, request, flash, redirect, url_for, session, Response
+from blueprints.auth import login_required
+from database import central_query
+from rechten import recht_vereist
+from services.sync_service import SyncService
+from tenancy import alle_scholen, school_op_code, in_school, herlaad, ONDERWIJSNIVEAUS
+
+leerlingenaantal_bp = Blueprint('leerlingenaantal', __name__)
+
+INFORMAT_VELDEN = ('INFORMAT_INST_NUMBER', 'INFORMAT_ID', 'INFORMAT_SECRET')
+
+# Teksten en routes voor het gedeelde sjabloon leerlingenaantal.html (ook gebruikt door de personeelsaantallen)
+WEERGAVE = dict(ep='leerlingenaantal', pagina='leerlingenaantal_page', titel='Leerlingenaantallen',
+                eenheid='Leerlingen', kort='lln.')
+
+
+def _datum(waarde):
+    try:
+        return datetime.strptime((waarde or '').strip(), '%Y-%m-%d').date()
+    except ValueError:
+        return None
+
+
+def _fmt(dt, leeg=''):
+    if not dt:
+        return leeg
+    return dt.strftime('%d-%m-%Y %H:%M') if hasattr(dt, 'strftime') else str(dt)
+
+
+def _detail(tekst):
+    try:
+        return json.loads(tekst) if tekst else []
+    except ValueError:
+        return []
+
+
+NIVEAUS = list(ONDERWIJSNIVEAUS) + [('', 'Onderwijsniveau niet ingesteld')]
+NIVEAU_LABEL = dict(NIVEAUS)
+
+
+def _niveau(school):
+    n = school.waarden.get('ONDERWIJSNIVEAU') or ''
+    return n if n in NIVEAU_LABEL else ''
+
+
+def _som(rijen, veld):
+    return sum(r[veld] for r in rijen if isinstance(r[veld], int))
+
+
+def _groepen(rows, veld):
+    """Rijen per onderwijsniveau (basis, secundair, niet ingesteld) met subtotaal; lege groepen vallen weg."""
+    uit = []
+    for code, label in NIVEAUS:
+        rijen = [r for r in rows if r['Niveau'] == code]
+        if rijen:
+            uit.append({'code': code, 'label': label, 'rijen': rijen, 'subtotaal': _som(rijen, veld)})
+    return uit
+
+
+def _huidig(query=''):
+    rows = []
+    for s in alle_scholen():
+        if query and query.lower() not in s.naam.lower():
+            continue
+        rows.append({
+            'Code': s.code,
+            'Naam_school': s.naam,
+            'Niveau': _niveau(s),
+            'Leerlingenaantal': s.leerlingenaantal if s.leerlingenaantal is not None else '–',
+            'Huidig': s.leerlingenaantal if s.leerlingenaantal is not None else '–',
+            'Laatste_synchronisatie': s.leerlingenaantal_sync,
+            'Informat': s.heeft(*INFORMAT_VELDEN),
+            'Campussen': s.leerlingenaantal_detail or [],      # [{'naam', 'nummer', 'aantal'}] bij meerdere campussen
+        })
+    return rows
+
+
+def _telling(peildatum, query=''):
+    """Alle actieve scholen met hun aantal op de peildatum (None = niet geteld)."""
+    per = {r['School_ID']: r for r in central_query(
+        "SELECT School_ID, Aantal, Detail, Schooljaar, Opgevraagd_op, Door FROM Leerlingenaantal_tellingen "
+        "WHERE Peildatum = %s", (peildatum,))}
+    rows = []
+    for s in alle_scholen():
+        if query and query.lower() not in s.naam.lower():
+            continue
+        t = per.get(s.id) or {}
+        rows.append({'Code': s.code, 'Naam_school': s.naam, 'Niveau': _niveau(s), 'Aantal': t.get('Aantal'),
+                     'Schooljaar': t.get('Schooljaar'), 'Opgevraagd_op': t.get('Opgevraagd_op'),
+                     'Door': t.get('Door'), 'Informat': s.heeft(*INFORMAT_VELDEN),
+                     'Campussen': _detail(t.get('Detail'))})
+    return rows
+
+
+def _peildata():
+    return central_query("SELECT Peildatum, COUNT(*) AS Scholen, SUM(Aantal) AS Totaal, MAX(Opgevraagd_op) AS Laatst "
+                         "FROM Leerlingenaantal_tellingen GROUP BY Peildatum ORDER BY Peildatum DESC")
+
+
+@leerlingenaantal_bp.route("/leerlingenaantal", methods=["GET", "POST"])
+@login_required
+@recht_vereist('leerlingenaantal')
+def leerlingenaantal_page():
+    query = (request.values.get("query") or "").strip()
+    herlaad(force=True)
+    results = _huidig(query)
+    totaal = _som(results, 'Leerlingenaantal')
+
+    peildatum = _datum(request.args.get('peildatum'))
+    telling = _telling(peildatum, query) if peildatum else None
+    telling_totaal = _som(telling, 'Aantal') if telling else 0
+    return render_template("leerlingenaantal.html", results=results, query=query, totaal=totaal,
+                           groepen=_groepen(results, 'Leerlingenaantal'),
+                           telling_groepen=_groepen(telling, 'Aantal') if telling else [],
+                           peildatum=peildatum, telling=telling, telling_totaal=telling_totaal,
+                           peildata=_peildata(), vandaag=date.today(), **WEERGAVE)
+
+
+@leerlingenaantal_bp.route("/sync-aanvragen", methods=["POST"])
+@login_required
+@recht_vereist('leerlingenaantal')
+def sync_aanvragen():
+    codes = [s.code for s in alle_scholen()] if request.form.get("alle") else [request.form.get("school_code")]
+    for code in codes:
+        school = school_op_code(code)
+        if not school:
+            continue
+        if not school.heeft(*INFORMAT_VELDEN):
+            flash(f"{school.naam}: Informat is nog niet ingesteld.", "error")
+            continue
+        with in_school(school):
+            success, message = SyncService().sync_student_count()
+        flash(f"{school.naam}: {message}", "success" if success else "error")
+    return redirect(url_for('leerlingenaantal.leerlingenaantal_page'))
+
+
+@leerlingenaantal_bp.route("/leerlingenaantal/peildatum", methods=["POST"])
+@login_required
+@recht_vereist('leerlingenaantal')
+def tel_peildatum():
+    """Telt de leerlingen op de gekozen datum, voor alle scholen of één school."""
+    peildatum = _datum(request.form.get('peildatum'))
+    if not peildatum:
+        flash("Kies een geldige datum.", "error")
+        return redirect(url_for('leerlingenaantal.leerlingenaantal_page'))
+    code = request.form.get('school_code')
+    scholen = [school_op_code(code)] if code else alle_scholen()
+    door = session.get('user')
+    gelukt = 0
+    for school in scholen:
+        if not school:
+            continue
+        if not school.heeft(*INFORMAT_VELDEN):
+            if code:
+                flash(f"{school.naam}: Informat is nog niet ingesteld.", "error")
+            continue
+        with in_school(school):
+            ok, res = SyncService().tel_op_peildatum(peildatum, door)
+        if ok:
+            gelukt += 1
+        else:
+            flash(f"{school.naam}: {res}", "error")
+    if gelukt:
+        flash(f"Leerlingen geteld op {peildatum:%d-%m-%Y} voor {gelukt} school/scholen.", "success")
+    return redirect(url_for('leerlingenaantal.leerlingenaantal_page', peildatum=peildatum.isoformat()))
+
+
+@leerlingenaantal_bp.route("/leerlingenaantal/peildatum/verwijderen", methods=["POST"])
+@login_required
+@recht_vereist('leerlingenaantal')
+def verwijder_peildatum():
+    peildatum = _datum(request.form.get('peildatum'))
+    if peildatum:
+        central_query("DELETE FROM Leerlingenaantal_tellingen WHERE Peildatum = %s", (peildatum,), commit=True)
+        flash(f"Telling van {peildatum:%d-%m-%Y} verwijderd.", "success")
+    return redirect(url_for('leerlingenaantal.leerlingenaantal_page'))
+
+
+# ------------------------------------------------------------------
+# CSV
+# ------------------------------------------------------------------
+def _csv(naam, kop, rijen):
+    buf = io.StringIO()
+    w = csv.writer(buf, delimiter=';')   # ; zodat Excel (Belgische instellingen) de kolommen meteen splitst
+    w.writerow(kop)
+    w.writerows(rijen)
+    return Response('' + buf.getvalue(), mimetype='text/csv',
+                    headers={'Content-Disposition': f'attachment; filename={naam}'})
+
+
+@leerlingenaantal_bp.route("/leerlingenaantal/export.csv", methods=["GET"])
+@login_required
+@recht_vereist('leerlingenaantal')
+def export_csv():
+    """?peildatum=YYYY-MM-DD → die telling; ?alle=1 → alle peildata naast elkaar; anders het huidige aantal."""
+    query = (request.args.get('query') or '').strip()
+
+    if request.args.get('alle'):
+        data = central_query("SELECT School_ID, Peildatum, Aantal, Detail FROM Leerlingenaantal_tellingen ORDER BY Peildatum")
+        datums = sorted({r['Peildatum'] for r in data})
+        per = {(r['School_ID'], r['Peildatum']): r['Aantal'] for r in data}
+        # campus-aantallen: {(school_id, campusnaam, datum): aantal}
+        campus, campusnamen = {}, {}
+        for r in data:
+            for d in _detail(r['Detail']):
+                campus[(r['School_ID'], d['naam'], r['Peildatum'])] = d['aantal']
+                campusnamen.setdefault(r['School_ID'], [])
+                if d['naam'] not in campusnamen[r['School_ID']]:
+                    campusnamen[r['School_ID']].append(d['naam'])
+        scholen = [s for s in alle_scholen() if not query or query.lower() in s.naam.lower()]
+        rijen = []
+        for code, label in NIVEAUS:
+            groep = [s for s in scholen if _niveau(s) == code]
+            if not groep:
+                continue
+            for s in groep:
+                rijen.append([label, s.naam, ''] + [per.get((s.id, d), '') for d in datums])
+                for naam in campusnamen.get(s.id, []):
+                    rijen.append([label, s.naam, naam] + [campus.get((s.id, naam, d), '') for d in datums])
+            if code:
+                rijen.append([f"Subtotaal {label}", '', ''] + [sum(per.get((s.id, d)) or 0 for s in groep) for d in datums])
+        rijen.append(['Totaal', '', ''] + [sum(per.get((s.id, d)) or 0 for s in scholen) for d in datums])
+        return _csv(f"leerlingenaantallen_alle_peildata_{date.today():%Y%m%d}.csv",
+                    ['Onderwijsniveau', 'School', 'Campus'] + [f"{d:%d-%m-%Y}" for d in datums], rijen)
+
+    peildatum = _datum(request.args.get('peildatum'))
+    if peildatum:
+        rows = _telling(peildatum, query)
+        rijen = []
+        for g in _groepen(rows, 'Aantal'):
+            for r in g['rijen']:
+                rijen.append([g['label'], r['Naam_school'], '', '' if r['Aantal'] is None else r['Aantal'],
+                              r['Schooljaar'] or '', _fmt(r['Opgevraagd_op'], 'niet geteld'), r['Door'] or ''])
+                for c in r['Campussen']:
+                    rijen.append([g['label'], r['Naam_school'], c['naam'], c['aantal'], r['Schooljaar'] or '', '', ''])
+            if g['code']:
+                rijen.append([f"Subtotaal {g['label']}", '', '', g['subtotaal'], '', '', ''])
+        rijen.append(['Totaal', '', '', _som(rows, 'Aantal'), '', '', ''])
+        return _csv(f"leerlingenaantallen_{peildatum:%Y%m%d}.csv",
+                    ['Onderwijsniveau', 'School', 'Campus', f"Leerlingen op {peildatum:%d-%m-%Y}", 'Schooljaar',
+                     'Opgevraagd op', 'Door'], rijen)
+
+    rows = _huidig(query)
+    rijen = []
+    for g in _groepen(rows, 'Leerlingenaantal'):
+        for r in g['rijen']:
+            rijen.append([g['label'], r['Naam_school'], '',
+                          r['Leerlingenaantal'] if isinstance(r['Leerlingenaantal'], int) else '',
+                          _fmt(r['Laatste_synchronisatie'], 'nog nooit')])
+            for c in r['Campussen']:
+                rijen.append([g['label'], r['Naam_school'], c['naam'], c['aantal'], ''])
+        if g['code']:
+            rijen.append([f"Subtotaal {g['label']}", '', '', g['subtotaal'], ''])
+    rijen.append(['Totaal', '', '', _som(rows, 'Leerlingenaantal'), ''])
+    return _csv(f"leerlingenaantallen_{date.today():%Y%m%d}.csv",
+                ['Onderwijsniveau', 'School', 'Campus', 'Leerlingen', 'Laatste synchronisatie'], rijen)
+
diff --git a/blueprints/nieuw_schooljaar_accounts_bp.py b/blueprints/nieuw_schooljaar_accounts_bp.py
new file mode 100644
index 0000000..2eb7599
--- /dev/null
+++ b/blueprints/nieuw_schooljaar_accounts_bp.py
@@ -0,0 +1,51 @@
+from flask import Blueprint, render_template, request, session, redirect, url_for, flash
+from services.google_service import GoogleAdminService
+from blueprints.auth import login_required
+from rechten import recht_vereist
+from tenancy import per_school
+
+account_verplaatsen_bp = Blueprint('accounts_verplaatsen', __name__)
+google = per_school(GoogleAdminService)
+
+@account_verplaatsen_bp.route('/beheer/verplaatsen', methods=['GET', 'POST'])
+@login_required
+@recht_vereist('nieuw_schooljaar')
+def accounts_verplaatsen():
+    if request.method == 'POST':
+        huidige_ou = request.form.get('huidige_ou')
+        nieuwe_ou = request.form.get('nieuwe_ou')
+        move_type = request.form.get('move_type') # 'current' of 'all'
+        
+        # Als move_type 'current' is, zou je hier je database/Informat lijst ophalen
+        enrolled_list = [] 
+        if move_type == 'current':
+            # Voorbeeld: enrolled_list = db.get_active_students_emails()
+            pass
+
+        only_enrolled = (move_type == 'current')
+        
+        success, message = google.move_users_ou(
+            huidige_ou, 
+            nieuwe_ou, 
+            only_enrolled=only_enrolled, 
+            enrolled_emails=enrolled_list
+        )
+        
+        flash(message)
+        return redirect(url_for('accounts_verplaatsen.accounts_verplaatsen'))
+
+    # Voor de GET: vul de dropdowns
+    org_units = google.list_org_units()
+    return render_template('nieuw_schooljaar_accounts.html', ous=org_units)
+
+@account_verplaatsen_bp.route('/beheer/archiveren-inactief', methods=['POST'])
+@login_required
+@recht_vereist('nieuw_schooljaar')
+def archiveren_inactief():
+    source_ou = request.form.get('bron_ou')
+    days_inactive = int(request.form.get('inactief_periode'))
+    
+    success, message = google.archive_inactive_users(source_ou, days_inactive)
+    
+    flash(message, "success" if success else "danger")
+    return redirect(url_for('accounts_verplaatsen.accounts_verplaatsen'))
\ No newline at end of file
diff --git a/blueprints/nieuw_schooljaar_toestellen_bp.py b/blueprints/nieuw_schooljaar_toestellen_bp.py
new file mode 100644
index 0000000..1c2e4c8
--- /dev/null
+++ b/blueprints/nieuw_schooljaar_toestellen_bp.py
@@ -0,0 +1,39 @@
+from flask import Blueprint, render_template, request, flash, redirect, url_for
+from services.google_service import GoogleAdminService
+from blueprints.auth import login_required
+from rechten import recht_vereist
+
+# We noemen de blueprint 'toestellen_verplaatsen'
+toestellen_verplaatsen_bp = Blueprint('toestellen_verplaatsen', __name__)
+
+@toestellen_verplaatsen_bp.route('/toestellen', methods=['GET', 'POST'])
+@login_required
+@recht_vereist('nieuw_schooljaar')
+def move_toestellen():
+    google_service = GoogleAdminService()
+    org_units = google_service.list_org_units()
+
+    # Standaard is de verplaatsen tab actief
+    return render_template('nieuw_schooljaar_toestellen.html', 
+                           org_units=org_units, 
+                           active_tab='verplaatsen')
+
+@toestellen_verplaatsen_bp.route('/blokkeren', methods=['POST'])
+@login_required
+@recht_vereist('nieuw_schooljaar')
+def blokkeer_toestellen():
+    google_service = GoogleAdminService()
+    selected_ou = request.form.get('ou_select_blokkeer')
+    actie = request.form.get('actie')
+
+    success, message = google_service.toggle_ou_devices_status(selected_ou, block=(actie == 'blokkeer'))
+    
+    flash(message, "success" if success else "danger")
+    
+    # Haal opnieuw de OU's op voor de template
+    org_units = google_service.list_org_units()
+    
+    # Cruciaal: we geven 'blokkeren' mee als actieve tab
+    return render_template('nieuw_schooljaar_toestellen.html', 
+                           org_units=org_units, 
+                           active_tab='blokkeren')
\ No newline at end of file
diff --git a/blueprints/personeel_bp.py b/blueprints/personeel_bp.py
new file mode 100644
index 0000000..89701c1
--- /dev/null
+++ b/blueprints/personeel_bp.py
@@ -0,0 +1,318 @@
+from datetime import date, datetime, timedelta
+from decimal import Decimal, InvalidOperation
+from functools import wraps
+
+from flask import Blueprint, render_template, request, redirect, url_for, flash, session, abort
+from tenancy import huidige_school, per_school
+from blueprints.auth import login_required
+from services import personeel_service as P
+
+personeel_bp = Blueprint('personeel', __name__)
+
+_tables_ready = set()   # scholen waarvoor de tabellen al gecontroleerd zijn
+
+
+def _ensure_tables():
+    if huidige_school().code not in _tables_ready:
+        try:
+            P.ensure_tables()
+            _tables_ready.add(huidige_school().code)
+        except Exception as e:
+            flash(f"Kon de personeelstabellen niet aanmaken: {e}", "error")
+
+
+def _me():
+    return (session.get('user') or '').lower(), session.get('naam') or session.get('user')
+
+
+def rol_vereist(rol):
+    def deco(f):
+        @wraps(f)
+        def wrapped(*a, **kw):
+            if rol not in P.rollen(session):
+                flash("Je hebt geen toegang tot deze pagina.", "error")
+                return redirect(url_for('personeel.mijn'))
+            return f(*a, **kw)
+        return wrapped
+    return deco
+
+
+@personeel_bp.context_processor
+def _ctx():
+    r = P.rollen(session) if session.get('auth') else set()
+    return {'p_rollen': r, 'SOORTEN': P.SOORTEN, 'STATUS': P.STATUS, 'DAGDELEN': P.DAGDELEN,
+            'p_te_beoordelen': P.aantal_te_beoordelen() if 'directie' in r else 0}
+
+
+def _link(aid):
+    return url_for('personeel.detail', aid=aid, _external=True)
+
+
+def _mag_zien(item):
+    me, _ = _me()
+    r = P.rollen(session)
+    return (item['Email'] == me or 'secretariaat' in r
+            or ('directie' in r and P.SOORTEN[item['Soort']]['goedkeuring']))
+
+
+def _laad(aid):
+    item = P.get(aid)
+    if not item:
+        abort(404)
+    if not _mag_zien(item):
+        flash("Je hebt geen toegang tot deze aanvraag.", "error")
+        return None
+    return item
+
+
+#---------------------------------------------
+# Mijn meldingen en aanvragen
+#---------------------------------------------
+@personeel_bp.route('/', methods=['GET'])
+@login_required
+def mijn():
+    _ensure_tables()
+    me, _ = _me()
+    try:
+        items = P.mijn(me)
+    except Exception as e:
+        items = []
+        flash(f"Kon je aanvragen niet ophalen: {e}", "error")
+    return render_template('personeel_mijn.html', items=items, vandaag=date.today())
+
+
+#---------------------------------------------
+# Nieuwe melding / aanvraag
+#---------------------------------------------
+@personeel_bp.route('/nieuw', methods=['GET', 'POST'])
+@login_required
+def nieuw():
+    _ensure_tables()
+    soort = request.values.get('soort', 'afwezigheid')
+    if soort not in P.SOORTEN:
+        soort = 'afwezigheid'
+    me, mijn_naam = _me()
+    is_secr = 'secretariaat' in P.rollen(session)
+    form = request.form
+
+    if request.method == 'POST':
+        fouten = []
+        try:
+            van = datetime.strptime(form.get('van', ''), '%Y-%m-%d').date()
+            tot = datetime.strptime(form.get('tot') or form.get('van', ''), '%Y-%m-%d').date()
+            if tot < van:
+                fouten.append("De einddatum ligt voor de begindatum.")
+        except ValueError:
+            van = tot = None
+            fouten.append("Kies een geldige datum.")
+
+        titel = (form.get('titel') or '').strip()
+        if soort == 'afwezigheid' and not titel:
+            titel = 'Afwezig'
+        if not titel:
+            fouten.append("Geef een titel op.")
+
+        dagdeel = form.get('dagdeel', 'dag')
+        if dagdeel not in P.DAGDELEN:
+            dagdeel = 'dag'
+        lesuren = (form.get('lesuren') or '').strip()
+        if dagdeel == 'uren' and not lesuren:
+            fouten.append("Vul in welke lesuren het gaat (bv. 3-5).")
+
+        klassen = form.getlist('klassen')
+        extra = [k.strip() for k in (form.get('klassen_extra') or '').split(',') if k.strip()]
+        klassen = list(dict.fromkeys(klassen + extra))
+        if soort == 'uitstap' and not klassen:
+            fouten.append("Kies welke klassen mee op uitstap gaan.")
+
+        kost = None
+        if (form.get('kost') or '').strip():
+            try:
+                kost = Decimal(form['kost'].replace(',', '.').replace('€', '').strip())
+            except InvalidOperation:
+                fouten.append("De kost is geen geldig bedrag.")
+
+        # Secretariaat kan melden namens een leerkracht
+        email, naam = me, mijn_naam
+        namens = (form.get('namens') or '').strip().lower()
+        if namens and namens != me:
+            if not is_secr:
+                fouten.append("Je kan enkel voor jezelf een melding maken.")
+            else:
+                email, naam = namens, namens
+                try:
+                    from services.google_service import GoogleAdminService
+                    u = GoogleAdminService().get_user_info(namens)
+                    if not u:
+                        fouten.append(f"{namens} bestaat niet in Google Workspace.")
+                    else:
+                        email = u['primaryEmail'].lower()
+                        naam = (u.get('name') or {}).get('fullName') or email
+                except Exception:
+                    pass
+
+        if fouten:
+            for f in fouten:
+                flash(f, "error")
+        else:
+            data = dict(soort=soort, email=email, naam=naam, titel=titel[:255],
+                        omschrijving=(form.get('omschrijving') or '').strip() or None,
+                        locatie=(form.get('locatie') or '').strip()[:255] or None,
+                        van=van, tot=tot, dagdeel=dagdeel, lesuren=lesuren[:50] or None,
+                        klassen=klassen, begeleiders=(form.get('begeleiders') or '').strip() or None, kost=kost)
+            aid = P.aanmaken(data, me, mijn_naam)
+            P.mail_nieuw(P.get(aid), _link(aid))
+            if P.SOORTEN[soort]['goedkeuring']:
+                flash("Je aanvraag is ingediend. De directie krijgt een melding; je ontvangt een mail zodra er een beslissing is.", "success")
+            else:
+                flash("De afwezigheid is gemeld aan het secretariaat.", "success")
+            return redirect(url_for('personeel.detail', aid=aid))
+
+    return render_template('personeel_nieuw.html', soort=soort, form=form, klassen=P.klassen(),
+                           is_secr=is_secr, vandaag=date.today())
+
+
+#---------------------------------------------
+# Detail + acties
+#---------------------------------------------
+@personeel_bp.route('/<int:aid>', methods=['GET'])
+@login_required
+def detail(aid):
+    _ensure_tables()
+    item = _laad(aid)
+    if item is None:
+        return redirect(url_for('personeel.mijn'))
+    me, _ = _me()
+    return render_template('personeel_detail.html', item=item, reacties=P.reacties(aid),
+                           is_eigenaar=item['Email'] == me, vandaag=date.today())
+
+
+@personeel_bp.route('/<int:aid>/beslissing', methods=['POST'])
+@login_required
+@rol_vereist('directie')
+def beslissing(aid):
+    item = _laad(aid)
+    if item is None:
+        return redirect(url_for('personeel.mijn'))
+    actie = request.form.get('actie')
+    tekst = (request.form.get('tekst') or '').strip()
+    if actie not in ('goedgekeurd', 'geweigerd', 'vraag'):
+        abort(400)
+    if not P.SOORTEN[item['Soort']]['goedkeuring'] or item['Status'] not in ('ingediend', 'vraag'):
+        flash("Over deze aanvraag kan geen beslissing (meer) genomen worden.", "error")
+        return redirect(url_for('personeel.detail', aid=aid))
+    if actie in ('geweigerd', 'vraag') and not tekst:
+        flash("Geef wat uitleg mee bij een weigering of vraag.", "error")
+        return redirect(url_for('personeel.detail', aid=aid))
+    me, naam = _me()
+    P.wijzig_status(aid, actie, me, naam, actie, tekst or None)
+    P.mail_beslissing(P.get(aid), actie, tekst, _link(aid))
+    flash({'goedgekeurd': "Aanvraag goedgekeurd.", 'geweigerd': "Aanvraag geweigerd.",
+           'vraag': "Je vraag is naar de leerkracht gestuurd."}[actie], "success")
+    nxt = request.form.get('volgende')
+    return redirect(url_for('personeel.beoordelen') if nxt else url_for('personeel.detail', aid=aid))
+
+
+@personeel_bp.route('/<int:aid>/antwoord', methods=['POST'])
+@login_required
+def antwoord(aid):
+    item = _laad(aid)
+    if item is None:
+        return redirect(url_for('personeel.mijn'))
+    me, naam = _me()
+    tekst = (request.form.get('tekst') or '').strip()
+    if item['Email'] != me or item['Status'] != 'vraag' or not tekst:
+        flash("Antwoorden kan enkel op je eigen aanvraag met een openstaande vraag.", "error")
+        return redirect(url_for('personeel.detail', aid=aid))
+    P.wijzig_status(aid, 'ingediend', me, naam, 'antwoord', tekst)
+    P.mail_antwoord(P.get(aid), tekst, _link(aid))
+    flash("Je antwoord is verstuurd; de aanvraag wacht opnieuw op de directie.", "success")
+    return redirect(url_for('personeel.detail', aid=aid))
+
+
+@personeel_bp.route('/<int:aid>/commentaar', methods=['POST'])
+@login_required
+def commentaar(aid):
+    item = _laad(aid)
+    if item is None:
+        return redirect(url_for('personeel.mijn'))
+    tekst = (request.form.get('tekst') or '').strip()
+    if tekst:
+        me, naam = _me()
+        P.commentaar(aid, me, naam, tekst)
+    return redirect(url_for('personeel.detail', aid=aid))
+
+
+@personeel_bp.route('/<int:aid>/annuleren', methods=['POST'])
+@login_required
+def annuleren(aid):
+    item = _laad(aid)
+    if item is None:
+        return redirect(url_for('personeel.mijn'))
+    me, naam = _me()
+    if not (item['Email'] == me or 'secretariaat' in P.rollen(session)):
+        flash("Je kan deze aanvraag niet annuleren.", "error")
+    elif item['Status'] in ('geannuleerd', 'geweigerd'):
+        flash("Deze aanvraag is al afgesloten.", "error")
+    else:
+        P.mail_geannuleerd(item, _link(aid))
+        P.wijzig_status(aid, 'geannuleerd', me, naam, 'geannuleerd', (request.form.get('tekst') or '').strip() or None)
+        flash("Geannuleerd.", "success")
+    return redirect(url_for('personeel.detail', aid=aid))
+
+
+@personeel_bp.route('/<int:aid>/vervanging', methods=['POST'])
+@login_required
+@rol_vereist('secretariaat')
+def vervanging(aid):
+    item = _laad(aid)
+    if item is None:
+        return redirect(url_for('personeel.mijn'))
+    me, naam = _me()
+    P.vervanging(aid, request.form.get('ok') == '1', request.form.get('info'), me, naam)
+    terug = request.form.get('terug')
+    return redirect(terug if terug and terug.startswith('/') else url_for('personeel.detail', aid=aid))
+
+
+#---------------------------------------------
+# Directie: te beoordelen
+#---------------------------------------------
+@personeel_bp.route('/beoordelen', methods=['GET'])
+@login_required
+@rol_vereist('directie')
+def beoordelen():
+    _ensure_tables()
+    return render_template('personeel_beoordelen.html', open_items=P.te_beoordelen(), recent=P.recent_beslist())
+
+
+#---------------------------------------------
+# Secretariaat: dagoverzicht
+#---------------------------------------------
+@personeel_bp.route('/dagoverzicht', methods=['GET'])
+@login_required
+@rol_vereist('secretariaat')
+def dagoverzicht():
+    _ensure_tables()
+    try:
+        dag = datetime.strptime(request.args.get('datum', ''), '%Y-%m-%d').date()
+    except ValueError:
+        dag = date.today()
+    weergave = request.args.get('weergave', 'dag')
+    if weergave == 'week':
+        van = dag - timedelta(days=dag.weekday())
+        tot = van + timedelta(days=4)
+        stap = timedelta(days=7)
+    else:
+        weergave = 'dag'
+        if dag.weekday() >= 5:                      # weekend → volgende maandag
+            dag = dag + timedelta(days=7 - dag.weekday())
+        van = tot = dag
+        stap = timedelta(days=1)
+    vorige, volgende = van - stap, van + stap
+    if weergave == 'dag':
+        while vorige.weekday() >= 5:
+            vorige -= timedelta(days=1)
+        while volgende.weekday() >= 5:
+            volgende += timedelta(days=1)
+    return render_template('personeel_dagoverzicht.html', dagen=P.dagoverzicht(van, tot), weergave=weergave,
+                           dag=dag, van=van, tot=tot, vorige=vorige, volgende=volgende, vandaag=date.today())
diff --git a/blueprints/personeelsaantal_bp.py b/blueprints/personeelsaantal_bp.py
new file mode 100644
index 0000000..cbabf81
--- /dev/null
+++ b/blueprints/personeelsaantal_bp.py
@@ -0,0 +1,232 @@
+"""
+Personeel › Personeelsaantallen: hetzelfde overzicht als de leerlingenaantallen, maar voor het personeel.
+
+Elke school wordt geteld met haar eigen Informat-koppeling (Personeel-API, zie services/gopro_service.py):
+een personeelslid telt mee als het op de peildatum een lopende opdracht heeft (één keer per persoon).
+- Huidig aantal: vandaag, bewaard in Personeelsaantal_huidig.
+- Telling op peildatum: bewaard in Personeelsaantal_tellingen, later opnieuw te bekijken en te exporteren.
+Het sjabloon is gedeeld met de leerlingenaantallen (leerlingenaantal.html).
+"""
+import csv
+import io
+import json
+from datetime import date
+
+from flask import Blueprint, render_template, request, flash, redirect, url_for, session, Response
+from blueprints.auth import login_required
+from blueprints.leerlingenaantal_bp import (INFORMAT_VELDEN, NIVEAUS, _datum, _detail, _fmt, _groepen, _niveau,
+                                            _som)
+from database import central_query
+from rechten import recht_vereist
+from services.gopro_service import GoProService
+from tenancy import alle_scholen, school_op_code, in_school, _automatisch_schooljaar
+
+personeelsaantal_bp = Blueprint('personeelsaantal', __name__)
+
+WEERGAVE = dict(ep='personeelsaantal', pagina='personeelsaantal_page', titel='Personeelsaantallen',
+                eenheid='Personeelsleden', kort='pers.')
+
+
+def _huidig(query=''):
+    per = {r['School_ID']: r for r in central_query(
+        "SELECT School_ID, Aantal, Detail, Gesynchroniseerd FROM Personeelsaantal_huidig")}
+    rows = []
+    for s in alle_scholen():
+        if query and query.lower() not in s.naam.lower():
+            continue
+        h = per.get(s.id) or {}
+        rows.append({'Code': s.code, 'Naam_school': s.naam, 'Niveau': _niveau(s),
+                     'Huidig': h['Aantal'] if h else '–', 'Laatste_synchronisatie': h.get('Gesynchroniseerd'),
+                     'Informat': s.heeft(*INFORMAT_VELDEN), 'Campussen': _detail(h.get('Detail'))})
+    return rows
+
+
+def _telling(peildatum, query=''):
+    per = {r['School_ID']: r for r in central_query(
+        "SELECT School_ID, Aantal, Detail, Schooljaar, Opgevraagd_op, Door FROM Personeelsaantal_tellingen "
+        "WHERE Peildatum = %s", (peildatum,))}
+    rows = []
+    for s in alle_scholen():
+        if query and query.lower() not in s.naam.lower():
+            continue
+        t = per.get(s.id) or {}
+        rows.append({'Code': s.code, 'Naam_school': s.naam, 'Niveau': _niveau(s), 'Aantal': t.get('Aantal'),
+                     'Schooljaar': t.get('Schooljaar'), 'Opgevraagd_op': t.get('Opgevraagd_op'),
+                     'Door': t.get('Door'), 'Informat': s.heeft(*INFORMAT_VELDEN),
+                     'Campussen': _detail(t.get('Detail'))})
+    return rows
+
+
+def _peildata():
+    return central_query("SELECT Peildatum, COUNT(*) AS Scholen, SUM(Aantal) AS Totaal, MAX(Opgevraagd_op) AS Laatst "
+                         "FROM Personeelsaantal_tellingen GROUP BY Peildatum ORDER BY Peildatum DESC")
+
+
+def _tel(school, peildatum):
+    """(ok, aantal of foutmelding, detail) voor één school."""
+    try:
+        with in_school(school):
+            totaal, detail = GoProService().tel(peildatum)
+        return True, totaal, detail
+    except Exception as e:
+        return False, str(e), None
+
+
+@personeelsaantal_bp.route("/", methods=["GET"])
+@login_required
+@recht_vereist('personeelsaantal')
+def personeelsaantal_page():
+    query = (request.values.get("query") or "").strip()
+    results = _huidig(query)
+    peildatum = _datum(request.args.get('peildatum'))
+    telling = _telling(peildatum, query) if peildatum else None
+    return render_template("leerlingenaantal.html", results=results, query=query, totaal=_som(results, 'Huidig'),
+                           groepen=_groepen(results, 'Huidig'),
+                           telling_groepen=_groepen(telling, 'Aantal') if telling else [],
+                           peildatum=peildatum, telling=telling,
+                           telling_totaal=_som(telling, 'Aantal') if telling else 0,
+                           peildata=_peildata(), vandaag=date.today(), **WEERGAVE)
+
+
+@personeelsaantal_bp.route("/sync-aanvragen", methods=["POST"])
+@login_required
+@recht_vereist('personeelsaantal')
+def sync_aanvragen():
+    codes = [s.code for s in alle_scholen()] if request.form.get("alle") else [request.form.get("school_code")]
+    for code in codes:
+        school = school_op_code(code)
+        if not school:
+            continue
+        if not school.heeft(*INFORMAT_VELDEN):
+            if not request.form.get("alle"):
+                flash(f"{school.naam}: Informat is nog niet ingesteld.", "error")
+            continue
+        ok, res, detail = _tel(school, date.today())
+        if not ok:
+            flash(f"{school.naam}: {res}", "error")
+            continue
+        central_query(
+            "INSERT INTO Personeelsaantal_huidig (School_ID, Aantal, Detail, Gesynchroniseerd) VALUES (%s, %s, %s, NOW()) "
+            "ON DUPLICATE KEY UPDATE Aantal = VALUES(Aantal), Detail = VALUES(Detail), Gesynchroniseerd = NOW()",
+            (school.id, res, json.dumps(detail) if detail else None), commit=True)
+        flash(f"{school.naam}: {res} personeelsleden" + (" (" + ", ".join(f"{d['naam']}: {d['aantal']}" for d in detail)
+                                                         + ")" if detail else "") + ".", "success")
+    return redirect(url_for('personeelsaantal.personeelsaantal_page'))
+
+
+@personeelsaantal_bp.route("/peildatum", methods=["POST"])
+@login_required
+@recht_vereist('personeelsaantal')
+def tel_peildatum():
+    peildatum = _datum(request.form.get('peildatum'))
+    if not peildatum:
+        flash("Kies een geldige datum.", "error")
+        return redirect(url_for('personeelsaantal.personeelsaantal_page'))
+    code = request.form.get('school_code')
+    scholen = [school_op_code(code)] if code else alle_scholen()
+    gelukt = 0
+    for school in scholen:
+        if not school or not school.heeft(*INFORMAT_VELDEN):
+            if school and code:
+                flash(f"{school.naam}: Informat is nog niet ingesteld.", "error")
+            continue
+        ok, res, detail = _tel(school, peildatum)
+        if not ok:
+            flash(f"{school.naam}: {res}", "error")
+            continue
+        central_query(
+            "INSERT INTO Personeelsaantal_tellingen (School_ID, Peildatum, Schooljaar, Aantal, Detail, Opgevraagd_op, Door) "
+            "VALUES (%s, %s, %s, %s, %s, NOW(), %s) ON DUPLICATE KEY UPDATE Schooljaar = VALUES(Schooljaar), "
+            "Aantal = VALUES(Aantal), Detail = VALUES(Detail), Opgevraagd_op = NOW(), Door = VALUES(Door)",
+            (school.id, peildatum, _automatisch_schooljaar(peildatum), res, json.dumps(detail) if detail else None,
+             session.get('user')), commit=True)
+        gelukt += 1
+    if gelukt:
+        flash(f"Personeel geteld op {peildatum:%d-%m-%Y} voor {gelukt} school/scholen.", "success")
+    return redirect(url_for('personeelsaantal.personeelsaantal_page', peildatum=peildatum.isoformat()))
+
+
+@personeelsaantal_bp.route("/peildatum/verwijderen", methods=["POST"])
+@login_required
+@recht_vereist('personeelsaantal')
+def verwijder_peildatum():
+    peildatum = _datum(request.form.get('peildatum'))
+    if peildatum:
+        central_query("DELETE FROM Personeelsaantal_tellingen WHERE Peildatum = %s", (peildatum,), commit=True)
+        flash(f"Telling van {peildatum:%d-%m-%Y} verwijderd.", "success")
+    return redirect(url_for('personeelsaantal.personeelsaantal_page'))
+
+
+def _csv(naam, kop, rijen):
+    buf = io.StringIO()
+    w = csv.writer(buf, delimiter=';')
+    w.writerow(kop)
+    w.writerows(rijen)
+    return Response('' + buf.getvalue(), mimetype='text/csv',
+                    headers={'Content-Disposition': f'attachment; filename={naam}'})
+
+
+@personeelsaantal_bp.route("/export.csv", methods=["GET"])
+@login_required
+@recht_vereist('personeelsaantal')
+def export_csv():
+    """?peildatum=YYYY-MM-DD → die telling; ?alle=1 → alle peildata naast elkaar; anders het huidige aantal."""
+    query = (request.args.get('query') or '').strip()
+
+    if request.args.get('alle'):
+        data = central_query("SELECT School_ID, Peildatum, Aantal, Detail FROM Personeelsaantal_tellingen ORDER BY Peildatum")
+        datums = sorted({r['Peildatum'] for r in data})
+        per = {(r['School_ID'], r['Peildatum']): r['Aantal'] for r in data}
+        campus, campusnamen = {}, {}
+        for r in data:
+            for d in _detail(r['Detail']):
+                campus[(r['School_ID'], d['naam'], r['Peildatum'])] = d['aantal']
+                campusnamen.setdefault(r['School_ID'], [])
+                if d['naam'] not in campusnamen[r['School_ID']]:
+                    campusnamen[r['School_ID']].append(d['naam'])
+        scholen = [s for s in alle_scholen() if not query or query.lower() in s.naam.lower()]
+        rijen = []
+        for code, label in NIVEAUS:
+            groep = [s for s in scholen if _niveau(s) == code]
+            if not groep:
+                continue
+            for s in groep:
+                rijen.append([label, s.naam, ''] + [per.get((s.id, d), '') for d in datums])
+                for naam in campusnamen.get(s.id, []):
+                    rijen.append([label, s.naam, naam] + [campus.get((s.id, naam, d), '') for d in datums])
+            if code:
+                rijen.append([f"Subtotaal {label}", '', ''] + [sum(per.get((s.id, d)) or 0 for s in groep) for d in datums])
+        rijen.append(['Totaal', '', ''] + [sum(per.get((s.id, d)) or 0 for s in scholen) for d in datums])
+        return _csv(f"personeelsaantallen_alle_peildata_{date.today():%Y%m%d}.csv",
+                    ['Onderwijsniveau', 'School', 'Instelling'] + [f"{d:%d-%m-%Y}" for d in datums], rijen)
+
+    peildatum = _datum(request.args.get('peildatum'))
+    if peildatum:
+        rows = _telling(peildatum, query)
+        rijen = []
+        for g in _groepen(rows, 'Aantal'):
+            for r in g['rijen']:
+                rijen.append([g['label'], r['Naam_school'], '', '' if r['Aantal'] is None else r['Aantal'],
+                              r['Schooljaar'] or '', _fmt(r['Opgevraagd_op'], 'niet geteld'), r['Door'] or ''])
+                for c in r['Campussen']:
+                    rijen.append([g['label'], r['Naam_school'], c['naam'], c['aantal'], r['Schooljaar'] or '', '', ''])
+            if g['code']:
+                rijen.append([f"Subtotaal {g['label']}", '', '', g['subtotaal'], '', '', ''])
+        rijen.append(['Totaal', '', '', _som(rows, 'Aantal'), '', '', ''])
+        return _csv(f"personeelsaantallen_{peildatum:%Y%m%d}.csv",
+                    ['Onderwijsniveau', 'School', 'Instelling', f"Personeelsleden op {peildatum:%d-%m-%Y}", 'Schooljaar',
+                     'Opgevraagd op', 'Door'], rijen)
+
+    rows = _huidig(query)
+    rijen = []
+    for g in _groepen(rows, 'Huidig'):
+        for r in g['rijen']:
+            rijen.append([g['label'], r['Naam_school'], '', r['Huidig'] if isinstance(r['Huidig'], int) else '',
+                          _fmt(r['Laatste_synchronisatie'], 'nog nooit')])
+            for c in r['Campussen']:
+                rijen.append([g['label'], r['Naam_school'], c['naam'], c['aantal'], ''])
+        if g['code']:
+            rijen.append([f"Subtotaal {g['label']}", '', '', g['subtotaal'], ''])
+    rijen.append(['Totaal', '', '', _som(rows, 'Huidig'), ''])
+    return _csv(f"personeelsaantallen_{date.today():%Y%m%d}.csv",
+                ['Onderwijsniveau', 'School', 'Instelling', 'Personeelsleden', 'Laatste synchronisatie'], rijen)
diff --git a/blueprints/qr_code_bp.py b/blueprints/qr_code_bp.py
new file mode 100644
index 0000000..5e97b1e
--- /dev/null
+++ b/blueprints/qr_code_bp.py
@@ -0,0 +1,125 @@
+import io
+import zipfile
+import qrcode
+import pandas as pd
+from flask import Blueprint, render_template, request, send_file, flash, redirect, url_for
+from PIL import Image, ImageDraw, ImageFont
+from blueprints.auth import login_required
+from rechten import recht_vereist  # Zorg dat dit pad klopt naar je auth_utils.py
+
+# definieren blueprint
+qr_code_bp = Blueprint('qr_generator', __name__, template_folder='templates')
+
+def generate_qr_images(excel_file, show_top, show_bottom):
+    # Overslaan van de header rij
+    df = pd.read_excel(excel_file, header=0) 
+    
+    zip_buffer = io.BytesIO()
+    
+    try:
+        # Try loading your local or system Arial font
+        font = ImageFont.truetype("arial.ttf", 20)
+    except IOError:
+        try:
+
+            font = ImageFont.load_default_font(size=20)
+        except AttributeError:
+            # Absolute fallback if Pillow is outdated, but textbbox WILL fail if this hits
+            font = ImageFont.load_default()
+
+    with zipfile.ZipFile(zip_buffer, "a", zipfile.ZIP_DEFLATED) as zip_file:
+        for index, row in df.iterrows():
+            # Gebruik .iloc voor veiligheid tegen kolomnamen
+            qr_text = str(row.iloc[0]) if not pd.isna(row.iloc[0]) else ""
+            top_text = str(row.iloc[1]) if not pd.isna(row.iloc[1]) else ""
+            bottom_text = str(row.iloc[2]) if not pd.isna(row.iloc[2]) else ""
+            
+            if qr_text.strip() == "":
+                continue
+            
+            qr = qrcode.QRCode(error_correction=qrcode.constants.ERROR_CORRECT_H)
+            qr.add_data(qr_text)
+            qr.make(fit=True)
+            qr_img = qr.make_image(fill_color="black", back_color="white").convert("RGB")
+            
+            qr_width, qr_height = qr_img.size
+            padding = 40
+            total_height = qr_height + (2 * padding)
+            
+            canvas = Image.new("RGB", (qr_width + 40, total_height + 40), "white")
+            draw = ImageDraw.Draw(canvas)
+            
+            qr_x = (canvas.width - qr_width) // 2
+            qr_y = padding
+            canvas.paste(qr_img, (qr_x, qr_y))
+            
+            if show_top and top_text:
+                bbox = draw.textbbox((0, 0), top_text, font=font)
+                text_w = bbox[2] - bbox[0]
+                draw.text(((canvas.width - text_w) / 2, 5), top_text, fill="black", font=font)
+
+            if show_bottom and bottom_text:
+                bbox = draw.textbbox((0, 0), bottom_text, font=font)
+                text_w = bbox[2] - bbox[0]
+                draw.text(((canvas.width - text_w) / 2, qr_y + qr_height + 5), bottom_text, fill="black", font=font)
+            
+            img_io = io.BytesIO()
+            canvas.save(img_io, 'PNG')
+            img_io.seek(0)
+            zip_file.writestr(f"qr_{index+1}.png", img_io.getvalue())
+
+    zip_buffer.seek(0)
+    return zip_buffer
+
+@qr_code_bp.route('/')
+@login_required
+@recht_vereist('qr_codes')
+def qr_generator():
+
+    return render_template('qr_code.html')
+
+@qr_code_bp.route('/download-template')
+@login_required
+@recht_vereist('qr_codes')
+def download_template():
+    df = pd.DataFrame(columns=["QR-Code (Link/ID)", "Koptekst", "Voettekst"])
+    
+    buffer = io.BytesIO()
+    with pd.ExcelWriter(buffer, engine='openpyxl') as writer:
+        df.to_excel(writer, index=False)
+    
+    buffer.seek(0)
+    
+    return send_file(
+        buffer,
+        as_attachment=True,
+        download_name='sjabloon_qr.xlsx',
+        mimetype='application/vnd.openxmlformats-officedocument.spreadsheetml.sheet'
+    )
+
+@qr_code_bp.route('/upload', methods=['POST'])
+@login_required
+@recht_vereist('qr_codes')
+def upload_file():
+    if 'file' not in request.files:
+        flash("Geen bestand geselecteerd", "warning")
+        return redirect(url_for('qr_generator.qr_generator'))
+    
+    file = request.files['file']
+    show_top = request.form.get('show_top') == 'on'
+    show_bottom = request.form.get('show_bottom') == 'on'
+
+    if file and file.filename != '':
+        try:
+            zip_data = generate_qr_images(file, show_top, show_bottom)
+            return send_file(
+                zip_data,
+                mimetype='application/zip',
+                as_attachment=True,
+                download_name='qr_codes.zip'
+            )
+        except Exception as e:
+            flash(f"Fout bij verwerken: {str(e)}", "danger")
+            return redirect(url_for('qr_generator.qr_generator'))
+            
+    return redirect(url_for('qr_generator.qr_generator'))
\ No newline at end of file
diff --git a/blueprints/repairs.py b/blueprints/repairs.py
new file mode 100644
index 0000000..9f4df57
--- /dev/null
+++ b/blueprints/repairs.py
@@ -0,0 +1,145 @@
+from flask import Blueprint, render_template, request, session, redirect, url_for, flash
+from database import execute_query
+from blueprints.auth import login_required
+from rechten import recht_vereist
+from services import CIP_inleveren # Voor de Ingeven_herstelling logica
+from services.signpost_byod_service import get_cases_by_serial
+from services import toestellen as tst
+
+# Herstellingen met de kolomnamen die herstellingen.html verwacht
+HERSTELLINGEN_SQL = """
+    SELECT h.Incident_ID AS Incident_nr, t.Schooleigen_ID AS KAMXM_nummer, t.Serienummer,
+           h.Omschrijving AS Soort_herstelling, h.Status_herstelling AS Status, h.Datum, h.Kostprijs,
+           l.Internnummer
+    FROM Signpost_herstellingen_DB h
+    JOIN Toestellen t ON t.Toestel_ID = h.Toestel_ID
+    LEFT JOIN Leerlingen l ON l.Leerling_ID = h.Leerling_ID
+"""
+
+# Definieer de blueprint
+repairs_bp = Blueprint('repairs', __name__)
+
+#---------------------------------------------------
+# --- ROUTE: OVERZICHT & ZOEKEN ---
+#----------------------------------------------------
+@repairs_bp.route('/herstellingen', methods=['GET', 'POST'])
+@login_required
+@recht_vereist('herstellingen')
+def herstellingen():
+    query = None
+    results = []
+    
+    # Haal de zoekterm op bij een POST request
+    if request.method == 'POST':
+        query = request.form.get('query')
+        sql = HERSTELLINGEN_SQL + " WHERE t.Schooleigen_ID LIKE %s OR h.Omschrijving LIKE %s ORDER BY h.Incident_ID DESC"
+        results = execute_query(sql, (f'%{query}%', f'%{query}%'))
+    else:
+        # Toon standaard alle herstellingen
+        results = execute_query(HERSTELLINGEN_SQL + " ORDER BY h.Incident_ID DESC")
+    
+    return render_template('herstellingen.html', results=results, query=query)
+
+#------------------------------------------------
+# --- ROUTE: TOEVOEGEN HERSTELLING ---
+#------------------------------------------------
+@repairs_bp.route('/repairs.add_herstelling', methods=['POST'])
+@login_required
+@recht_vereist('herstellingen')
+def add_herstelling():
+    kamxm_nummer = request.form.get('kamxm_nummer')
+    soort_herstelling = request.form.get('soort_herstelling')
+
+    if not kamxm_nummer or not soort_herstelling:
+        flash("Vul alle velden in!", "error")
+        return redirect(url_for('repairs.herstellingen'))
+
+    try:
+        # Gebruik de logica uit de CIP_inleveren module
+        CIP_inleveren.Ingeven_herstelling(kamxm_nummer, soort_herstelling)
+        if CIP_inleveren.foutmelding:
+            flash(CIP_inleveren.foutmelding)
+    except Exception as e:
+        flash(f"Er is een fout opgetreden: {str(e)}", "error")
+
+    return redirect(url_for('repairs.herstellingen'))
+
+#functie achter wijzig herstellingen
+@repairs_bp.route('/wijzig_status_herstelling', methods=['POST'])
+@login_required
+@recht_vereist('herstellingen')
+def wijzig_status_herstelling():
+    # Haal alle gegevens op uit het formulier
+    kamxm_nummer = request.form.get('kamxm_nummer')
+    nieuwe_status = request.form.get('new_status')
+    incident_nr = request.form.get("incident_nr") # Zorg dat dit uit je modal komt
+
+    # Validatie: we hebben nu alle drie de velden nodig voor een unieke update
+    if not kamxm_nummer or not nieuwe_status or not incident_nr:
+        flash("Fout: Ontbrekende gegevens (Toestel, Status of Incident nr).", "error")
+        return redirect(url_for('repairs.herstellingen'))
+
+    try:
+        # Update alleen de rij waar zowel KAMXM als Incident_nr overeenkomen
+        execute_query("UPDATE Signpost_herstellingen_DB SET Status_herstelling = %s WHERE Incident_ID = %s",
+                      (nieuwe_status, incident_nr), commit=True)
+        
+        flash(f"Status van incident {incident_nr} ({kamxm_nummer}) is nu: {nieuwe_status}", "success")
+    except Exception as err:
+        flash(f"Database fout: {err}", "error")
+
+    return redirect(url_for('repairs.herstellingen'))
+
+#-----------------------------------------------
+# --- ROUTE: GEGEVENS BEWERKEN ---
+#-----------------------------------------------
+@repairs_bp.route('/bewerk_herstelling', methods=['POST'])
+@login_required
+@recht_vereist('herstellingen')
+def bewerk_herstelling():
+    # Haal de originele sleutels op om de juiste rij te vinden
+    old_kamxm = request.form.get('kamxm_nummer_original')
+    incident_nr = request.form.get('incident_nr') # Dit is essentieel voor de unieke selectie
+    
+    # Haal de nieuwe waarden op
+    new_kamxm = request.form.get('kamxm_nummer')
+    soort = request.form.get('soort_herstelling')
+    datum = request.form.get('datum')
+
+    try:
+        toestel = tst.zoek_toestel(new_kamxm)
+        if not toestel:
+            flash(f"Toestel {new_kamxm} niet gevonden.", "error")
+            return redirect(url_for('repairs.herstellingen'))
+        execute_query("UPDATE Signpost_herstellingen_DB SET Toestel_ID = %s, Omschrijving = %s, Datum = %s "
+                      "WHERE Incident_ID = %s",
+                      (toestel['Toestel_ID'], soort, datum or None, incident_nr), commit=True)
+        flash(f"Herstelling {incident_nr} voor {new_kamxm} succesvol bijgewerkt!", "success")
+    except Exception as err:
+        flash(f"Fout bij bijwerken: {err}", "error")
+
+    return redirect(url_for('repairs.herstellingen'))
+
+#--------------------------------------------------
+#--- ROUTE: Signpost herstelling
+#--------------------------------------------------
+@repairs_bp.route('/herstellingen/signpost_search', methods=['POST'])
+@login_required
+@recht_vereist('herstellingen')
+def signpost_search():
+    serial = request.form.get('serial_number')
+    signpost_results = []
+    
+    if serial:
+        signpost_results = get_cases_by_serial(serial)
+        if not signpost_results:
+            flash(f"Geen Signpost cases gevonden voor {serial}", "info")
+    
+    # We sturen de gebruiker terug naar de tab, maar met de resultaten
+    # Tip: Om de tab 'active' te houden na een POST, kun je een parameter meesturen
+    results = execute_query(HERSTELLINGEN_SQL + " ORDER BY h.Incident_ID DESC")
+    return render_template('herstellingen.html', 
+                           results=results, 
+                           signpost_results=signpost_results, 
+                           active_tab='signpost-tab',
+                           searched_serial=serial)
\ No newline at end of file
diff --git a/blueprints/scholen_bp.py b/blueprints/scholen_bp.py
new file mode 100644
index 0000000..78bd6d5
--- /dev/null
+++ b/blueprints/scholen_bp.py
@@ -0,0 +1,683 @@
+"""
+Scholenbeheer.
+
+- Superbeheerders (administrators in Gebruikers, of config.ini › superbeheerders via Google):
+  scholen toevoegen, alle instellingen wijzigen, tussen alle scholen wisselen.
+- Gebruikers met het recht 'koppelingen' in een school: de koppelingen van DIE school wijzigen
+  (wachtwoorden, Informat, Google, ...), maar niet de code, domeinen of database.
+- Iedereen kan wisselen naar een school waarin hij rechten heeft.
+"""
+import functools
+import json
+import os
+import re
+import sys
+
+import requests
+from flask import Blueprint, render_template, request, redirect, url_for, flash, session, g
+
+import tenancy
+from tenancy import VELDEN, VELD, GROEPEN, alle_scholen, school_op_code, in_school
+from database import central_query, execute_query, get_central_connection, vergeet_pools
+import rechten
+
+scholen_bp = Blueprint('scholen', __name__)
+
+CODE_RE = re.compile(r'^[a-z0-9_-]{2,32}$')
+DB_RE = re.compile(r'^[A-Za-z0-9_-]{1,64}$')
+# Velden die enkel een superbeheerder mag wijzigen
+ENKEL_SUPER_GROEPEN = {'database'}
+
+
+def superbeheerder_required(f):
+    @functools.wraps(f)
+    def wrapped(*a, **kw):
+        if not session.get('auth') or not session.get('superbeheerder'):
+            flash("Enkel voor superbeheerders van de scholengroep.", "error")
+            return redirect(url_for('auth.login'))
+        return f(*a, **kw)
+    return wrapped
+
+
+# Koppelingen van de eigen school: recht 'koppelingen' in die school
+schoolbeheerder_required = rechten.recht_vereist('koppelingen')
+
+
+# ------------------------------------------------------------------
+# Overzicht en wisselen
+# ------------------------------------------------------------------
+@scholen_bp.route('/')
+@superbeheerder_required
+def overzicht():
+    tenancy.herlaad(force=True)
+    scholen = alle_scholen(ook_inactief=True)
+    # Onderverdeeld per onderwijsniveau; scholen zonder (geldig) niveau komen in de laatste groep
+    niveaus = list(tenancy.ONDERWIJSNIVEAUS) + [('', 'Onderwijsniveau niet gekozen')]
+    codes = {c for c, _ in tenancy.ONDERWIJSNIVEAUS}
+    niveau = lambda sch: sch.waarden.get('ONDERWIJSNIVEAU') if sch.waarden.get('ONDERWIJSNIVEAU') in codes else ''
+    groepen = [{'code': code or 'geen', 'label': label, 'scholen': [x for x in scholen if niveau(x) == code]}
+               for code, label in niveaus]
+    tests = laatste_tests()
+    return render_template('scholen.html', scholen=scholen, groepen=[g for g in groepen if g['scholen']],
+                           badges={x.code: koppeling_badges(x, tests.get(x.id, {})) for x in scholen})
+
+
+# ------------------------------------------------------------------
+# Resultaten van de koppelingstest (voor de badges in het overzicht)
+# ------------------------------------------------------------------
+# Badge in het overzicht → onderdelen uit test_school() die erbij horen
+BADGES = [
+    ('Smartschool', ('SS_API_PLATFORM', 'SS_API_PW'), ('Smartschool webservices', 'Smartschool OneRoster')),
+    ('Informat', ('INFORMAT_INST_NUMBER', 'INFORMAT_ID', 'INFORMAT_SECRET'), ('Informat',)),
+    ('Google', None, ('Google Workspace',)),
+    ('Signpost', ('M4S_CLIENT_ID', 'M4S_CLIENT_SECRET'), ('Signpost / M4S',)),
+]
+
+
+def _informat_ingesteld(school):
+    """Informat telt als ingesteld met client-ID/secret en een instellingsnummer van de school óf van het internaat."""
+    return school.heeft('INFORMAT_ID', 'INFORMAT_SECRET') and (
+        school.heeft('INFORMAT_INST_NUMBER') or school.heeft('INFORMAT_INTERNAAT_NUMMER'))
+
+
+def bewaar_test(school, resultaten):
+    for onderdeel, ok, detail in resultaten:
+        central_query(
+            "INSERT INTO Koppeling_tests (School_ID, Onderdeel, Ok, Detail, Getest_op) VALUES (%s, %s, %s, %s, NOW()) "
+            "ON DUPLICATE KEY UPDATE Ok = VALUES(Ok), Detail = VALUES(Detail), Getest_op = NOW()",
+            (school.id, onderdeel, None if ok is None else int(bool(ok)), (detail or '')[:500]), commit=True)
+
+
+def laatste_tests():
+    """{school_id: {onderdeel: rij}}"""
+    uit = {}
+    try:
+        for r in central_query("SELECT School_ID, Onderdeel, Ok, Detail, Getest_op FROM Koppeling_tests") or []:
+            uit.setdefault(r['School_ID'], {})[r['Onderdeel']] = r
+    except Exception:
+        pass
+    return uit
+
+
+def koppeling_badges(school, tests):
+    """[{label, toestand: ok|fout|ongetest|niet, titel}] volgens de laatste test. Een test van vóór de laatste
+    wijziging aan de school telt niet meer (dan 'ongetest')."""
+    from datetime import datetime
+    try:
+        gewijzigd = datetime.fromisoformat(school.versie).replace(microsecond=0) if school.versie else None
+    except ValueError:
+        gewijzigd = None
+    uit = []
+    for label, velden, onderdelen in BADGES:
+        if label == 'Informat':
+            ingesteld = _informat_ingesteld(school)
+        else:
+            ingesteld = school.google_sleutel is not None if velden is None else school.heeft(*velden)
+        if not ingesteld:
+            uit.append({'label': label, 'toestand': 'niet', 'titel': 'niet ingesteld'})
+            continue
+        rijen = [tests[o] for o in onderdelen if o in tests and tests[o]['Ok'] is not None]
+        if not rijen or (gewijzigd and any(r['Getest_op'] < gewijzigd for r in rijen)):
+            uit.append({'label': label, 'toestand': 'ongetest',
+                        'titel': 'ingesteld, maar nog niet getest sinds de laatste wijziging – klik op Testen'})
+            continue
+        fout = [r for r in rijen if not r['Ok']]
+        wanneer = max(r['Getest_op'] for r in rijen).strftime('%d-%m-%Y %H:%M')
+        if fout:
+            uit.append({'label': label, 'toestand': 'fout',
+                        'titel': f"test mislukt op {wanneer}: " + ' · '.join(r['Detail'] for r in fout)[:300]})
+        else:
+            uit.append({'label': label, 'toestand': 'ok', 'titel': f"test geslaagd op {wanneer}"})
+    return uit
+
+
+@scholen_bp.route('/wissel/<code>')
+def wissel(code):
+    """Naar een andere school gaan: superbeheerders overal, anderen waar ze rechten hebben."""
+    if not session.get('auth'):
+        return redirect(url_for('auth.login'))
+    school = school_op_code(code)
+    if not school:
+        flash("Onbekende of inactieve school.", "error")
+        return redirect(url_for('main.dashboard'))
+    if not session.get('superbeheerder'):
+        gid = session.get('gebruiker_id')
+        if not gid or school.id not in rechten.scholen_met_rechten(gid):
+            flash(f"Je hebt geen rechten in {school.naam}.", "error")
+            return redirect(url_for('main.dashboard'))
+    session['school'] = school.code
+    rechten.bewaar_laatste_school(session.get('gebruiker_id'), school.code)   # volgende keer meteen deze school
+    flash(f"Je werkt nu in {school.naam}.", "success")
+    from blueprints.auth import _onthoud_school
+    return _onthoud_school(redirect(url_for('main.dashboard')), school)
+
+
+# ------------------------------------------------------------------
+# Formulier
+# ------------------------------------------------------------------
+# Velden die een uur van de dag zijn (0–23)
+UUR_VELDEN = {'AFWEZIGHEID_SYNC_UUR'}
+
+
+def _controleer_waarden(waarden):
+    """Geeft een foutmelding als een getal-veld ongeldig is, anders None."""
+    for v in VELDEN:
+        w = str(waarden.get(v.key) or '').strip()
+        if v.soort != 'getal' or not w:
+            continue
+        if not w.isdigit():
+            return f"'{v.label}' moet een getal zijn (nu: {w})."
+        if v.key in UUR_VELDEN and not 0 <= int(w) <= 23:
+            return f"'{v.label}' moet een uur tussen 0 en 23 zijn (nu: {w})."
+    return None
+
+
+def _form_waarden(school, mag_alles):
+    """Leest het formulier. Lege geheimen = ongewijzigd laten (tenzij 'wissen' aangevinkt)."""
+    oud = dict(school.waarden) if school else {}
+    nieuw = dict(oud)
+    for v in VELDEN:
+        if v.groep in ENKEL_SUPER_GROEPEN and not mag_alles:
+            continue
+        naam = f"v_{v.key}"
+        if v.soort == 'janee':
+            nieuw[v.key] = 'ja' if request.form.get(naam) else 'nee'
+            continue
+        waarde = (request.form.get(naam) or '').strip()
+        if v.soort == 'geheim':
+            if request.form.get(f"wis_{v.key}"):
+                nieuw.pop(v.key, None)
+            elif waarde:
+                nieuw[v.key] = waarde
+            continue
+        if waarde:
+            nieuw[v.key] = waarde
+        else:
+            nieuw.pop(v.key, None)
+    return nieuw
+
+
+def _google_sleutel_uit_form():
+    """Geeft (sleutel_dict | None, foutmelding | None)."""
+    bestand = request.files.get('google_sleutel')
+    tekst = ''
+    if bestand and bestand.filename:
+        tekst = bestand.read().decode('utf-8', errors='replace')
+    elif (request.form.get('google_sleutel_tekst') or '').strip():
+        tekst = request.form['google_sleutel_tekst'].strip()
+    if not tekst:
+        return None, None
+    try:
+        data = json.loads(tekst)
+    except ValueError:
+        return None, "De Google-sleutel is geen geldig JSON-bestand."
+    if data.get('type') != 'service_account' or not data.get('private_key') or not data.get('client_email'):
+        return None, "Dit is geen sleutel van een Google-serviceaccount (type 'service_account')."
+    return data, None
+
+
+def database_status(school):
+    """'ok' (PIVOT-tabellen aanwezig), 'leeg' (database bestaat, tabellen ontbreken) of 'ontbreekt'."""
+    import mysql.connector
+    cfg = school.db_config()
+    from config import Config
+    try:
+        conn = mysql.connector.connect(host=cfg['host'], port=Config.DB_PORT, user=cfg['user'],
+                                       password=cfg['password'], connection_timeout=5)
+    except Exception:
+        return 'onbekend'
+    try:
+        cur = conn.cursor()
+        cur.execute("SELECT COUNT(*) FROM information_schema.SCHEMATA WHERE SCHEMA_NAME = %s", (school.db_naam,))
+        if not cur.fetchone()[0]:
+            return 'ontbreekt'
+        cur.execute("SELECT COUNT(*) FROM information_schema.TABLES WHERE TABLE_SCHEMA = %s "
+                    "AND LOWER(TABLE_NAME) = 'toestellen'", (school.db_naam,))
+        return 'ok' if cur.fetchone()[0] else 'leeg'
+    except Exception:
+        return 'onbekend'
+    finally:
+        conn.close()
+
+
+def _render_form(school, nieuw, mag_alles, form=None):
+    return render_template('school_bewerken.html', school=school, nieuw=nieuw, mag_alles=mag_alles,
+                           db_status=database_status(school) if school else None,
+                           groepen=GROEPEN, velden=VELDEN, enkel_super=ENKEL_SUPER_GROEPEN,
+                           form=form or {}, andere_scholen=[s for s in alle_scholen(ook_inactief=True) if not school or s.code != school.code])
+
+
+@scholen_bp.route('/nieuw', methods=['GET', 'POST'])
+@superbeheerder_required
+def nieuw():
+    if request.method == 'GET':
+        return _render_form(None, True, True)
+
+    code = (request.form.get('code') or '').strip().lower()
+    naam = (request.form.get('naam') or '').strip()
+    db_naam = (request.form.get('db_naam') or '').strip()
+    fouten = []
+    if not CODE_RE.match(code):
+        fouten.append("De code mag enkel kleine letters, cijfers, - en _ bevatten (2-32 tekens).")
+    elif school_op_code(code, ook_inactief=True):
+        fouten.append(f"Er bestaat al een school met code '{code}'.")
+    if not naam:
+        fouten.append("Vul de naam van de school in.")
+    if not DB_RE.match(db_naam):
+        fouten.append("Ongeldige databasenaam.")
+    domeinen, fout = _domeinen(request.form.get('domeinen'))
+    if fout:
+        fouten.append(fout)
+    sleutel, fout = _google_sleutel_uit_form()
+    if fout:
+        fouten.append(fout)
+    if fouten:
+        for f in fouten:
+            flash(f, "error")
+        return _render_form(None, True, True, form=request.form)
+
+    waarden = _form_waarden(None, True)
+    fout = _controleer_waarden(waarden)
+    if fout:
+        flash(fout, "error")
+        return _render_form(None, True, True, form=request.form)
+
+    # Optioneel: database aanmaken (standaardstructuur, of een volledige kopie van een bestaande school)
+    keuze = request.form.get('kopieer_schema_van')
+    bron = school_op_code(keuze, ook_inactief=True) if keuze and keuze != STANDAARD else None
+    if keuze == STANDAARD:
+        ok, msg = maak_schooldatabase(db_naam, waarden)
+        flash(msg, "success" if ok else "error")
+        if not ok:
+            return _render_form(None, True, True, form=request.form)
+    elif bron:
+        if request.form.get('kopie_koppelingen'):
+            # Koppelingen en instellingen van de bron overnemen (database-server blijft dezelfde);
+            # aanpassen kan meteen daarna op de pagina Bewerken.
+            waarden = dict(bron.waarden)
+            sleutel = sleutel or bron.google_sleutel
+        ok, msg = kopieer_school_db(bron, db_naam, waarden)
+        flash(msg, "success" if ok else "error")
+        if not ok:
+            return _render_form(None, True, True, form=request.form)
+
+    tenancy.opslaan(code, naam, ','.join(domeinen), _hostnamen(request.form.get('hostnamen')), db_naam,
+                    bool(request.form.get('actief')), waarden, sleutel, gebruiker=session.get('user'), nieuw=True)
+    flash(f"School {naam} toegevoegd.", "success")
+    if bron:
+        if request.form.get('kopie_koppelingen'):
+            flash(f"Koppelingen en instellingen van {bron.naam} overgenomen. Kijk ze hieronder na"
+                  + (" (de school staat actief: geplande synchronisaties lopen ook voor de kopie)."
+                     if request.form.get('actief') else "."), "info")
+        if request.form.get('kopie_rechten'):
+            n = kopieer_rechten(bron, code, session.get('user'))
+            flash(f"Rechten van {n} gebruiker(s) overgenomen van {bron.naam}.", "success")
+    return redirect(url_for('scholen.bewerken', code=code))
+
+
+@scholen_bp.route('/<code>/bewerken', methods=['GET', 'POST'])
+@superbeheerder_required
+def bewerken(code):
+    return _bewerk(code, mag_alles=True)
+
+
+@scholen_bp.route('/<code>/database-aanmaken', methods=['POST'])
+@superbeheerder_required
+def database_aanmaken(code):
+    """Database van een bestaande school (alsnog) aanmaken met de standaardstructuur.
+    Veilig om te herhalen: bestaande tabellen en gegevens blijven behouden."""
+    school = school_op_code(code, ook_inactief=True)
+    if not school:
+        flash("Onbekende school.", "error")
+        return redirect(url_for('scholen.overzicht'))
+    ok, msg = maak_schooldatabase(school.db_naam, school.waarden)
+    vergeet_pools(school.db_naam)
+    flash(msg, "success" if ok else "error")
+    return redirect(url_for('scholen.bewerken', code=school.code))
+
+
+@scholen_bp.route('/mijn-school', methods=['GET', 'POST'])
+@schoolbeheerder_required
+def mijn_school():
+    return _bewerk(session['school'], mag_alles=bool(session.get('superbeheerder')))
+
+
+def _bewerk(code, mag_alles):
+    school = school_op_code(code, ook_inactief=True)
+    if not school:
+        flash("Onbekende school.", "error")
+        return redirect(url_for('main.dashboard'))
+    if request.method == 'GET':
+        return _render_form(school, False, mag_alles)
+
+    if request.form.get('wis_google_sleutel'):
+        tenancy.wis_google_sleutel(school.code, session.get('user'))
+        school = school_op_code(code, ook_inactief=True)
+
+    sleutel, fout = _google_sleutel_uit_form()
+    if fout:
+        flash(fout, "error")
+        return _render_form(school, False, mag_alles, form=request.form)
+
+    if mag_alles:
+        naam = (request.form.get('naam') or '').strip() or school.naam
+        domeinen, fout = _domeinen(request.form.get('domeinen'), school.code)
+        db_naam = (request.form.get('db_naam') or '').strip()
+        if fout or not DB_RE.match(db_naam):
+            flash(fout or "Ongeldige databasenaam.", "error")
+            return _render_form(school, False, mag_alles, form=request.form)
+        hostnamen = _hostnamen(request.form.get('hostnamen'))
+        actief = bool(request.form.get('actief'))
+    else:
+        naam, domeinen, db_naam = school.naam, school.domeinen, school.db_naam
+        hostnamen, actief = ','.join(school.hostnamen), school.actief
+
+    waarden = _form_waarden(school, mag_alles)
+    fout = _controleer_waarden(waarden)
+    if fout:
+        flash(fout, "error")
+        return _render_form(school, False, mag_alles, form=request.form)
+    tenancy.opslaan(school.code, naam, ','.join(domeinen), hostnamen, db_naam, actief, waarden, sleutel,
+                    gebruiker=session.get('user'))
+    vergeet_pools()
+    flash(f"Instellingen van {naam} opgeslagen.", "success")
+    if request.endpoint == 'scholen.bewerken':
+        return redirect(url_for('scholen.bewerken', code=school.code))
+    return redirect(url_for('scholen.mijn_school'))
+
+
+def _domeinen(tekst, eigen_code=None):
+    domeinen = [d.strip().lower().lstrip('@') for d in re.split(r'[,;\s]+', tekst or '') if d.strip()]
+    if not domeinen:
+        return [], "Geef minstens één e-maildomein op (bv. school.be)."
+    for d in domeinen:
+        if not re.match(r'^[a-z0-9.-]+\.[a-z]{2,}$', d):
+            return [], f"'{d}' is geen geldig domein."
+        # Meerdere scholen mogen hetzelfde domein delen (bv. basis- en secundaire school van één campus).
+        # Wie zich met Google aanmeldt, komt dan in de school waar hij toegang toe heeft (zie auth.callback).
+    return domeinen, None
+
+
+def _hostnamen(tekst):
+    return ','.join(h.strip().lower() for h in re.split(r'[,;\s]+', tekst or '') if h.strip())
+
+
+# ------------------------------------------------------------------
+# Database aanmaken
+# ------------------------------------------------------------------
+STANDAARD = '__standaard__'
+SCHOOL_SQL = os.path.join(os.path.dirname(os.path.dirname(os.path.abspath(__file__))), 'sql', 'school.sql')
+
+
+def sql_statements(pad):
+    """Leest een .sql-bestand en geeft de afzonderlijke statements (commentaar weggelaten)."""
+    with open(pad, encoding='utf-8') as f:
+        regels = [r for r in f.read().split('\n') if not r.strip().startswith('--')]
+    return [st.strip() for st in re.split(r';\s*\n', '\n'.join(regels) + '\n') if st.strip()]
+
+
+def maak_schooldatabase(db_naam, waarden=None):
+    """Maakt db_naam aan met de standaardstructuur uit sql/school.sql (lege tabellen)."""
+    import mysql.connector
+    from config import Config
+    waarden = waarden or {}
+    if not DB_RE.match(db_naam or ''):
+        return False, "Ongeldige databasenaam."
+    try:
+        conn = mysql.connector.connect(
+            host=waarden.get('DB_HOST') or Config.DB_HOST, port=Config.DB_PORT,
+            user=waarden.get('DB_USER') or Config.DB_USER,
+            password=waarden.get('DB_PASSWORD') or Config.DB_PASSWORD, connection_timeout=10,
+            charset='utf8mb4', collation='utf8mb4_unicode_ci')
+    except Exception as e:
+        return False, f"Kan niet verbinden met de databaseserver: {e}"
+    cur = conn.cursor()
+    try:
+        cur.execute(f"CREATE DATABASE IF NOT EXISTS `{db_naam}` CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci")
+        cur.execute(f"USE `{db_naam}`")
+        stmts = sql_statements(SCHOOL_SQL)
+        for st in stmts:
+            cur.execute(st)
+        conn.commit()
+        n = sum(1 for st in stmts if st.upper().startswith('CREATE TABLE'))
+        return True, f"Database {db_naam} aangemaakt met de standaardstructuur ({n} tabellen)."
+    except Exception as e:
+        conn.rollback()
+        return False, f"Database aanmaken mislukt: {e}"
+    finally:
+        cur.close()
+        conn.close()
+def kopieer_school_db(bron, db_naam, waarden):
+    """Maakt db_naam aan (zelfde server) als volledige kopie van de database van `bron`: alle tabellen mét gegevens.
+    De doeldatabase moet nieuw of leeg zijn. Mislukt het, dan wordt een database die we zelf aanmaakten weer verwijderd."""
+    bron_db = bron.db_naam
+    if waarden.get('DB_HOST') and waarden.get('DB_HOST') != (bron.waarden.get('DB_HOST') or ''):
+        return False, "Een school kopiëren kan enkel binnen dezelfde databaseserver."
+    if db_naam == bron_db:
+        return False, "Kies een andere databasenaam dan die van de school die je kopieert."
+    conn = get_central_connection()
+    cur = conn.cursor()
+    zelf_aangemaakt = False
+    try:
+        cur.execute("SELECT 1 FROM information_schema.SCHEMATA WHERE SCHEMA_NAME = %s", (db_naam,))
+        bestond = bool(cur.fetchall())
+        if bestond:
+            cur.execute(f"SHOW FULL TABLES FROM `{db_naam}` WHERE Table_type = 'BASE TABLE'")
+            if cur.fetchall():
+                return False, (f"De database {db_naam} bestaat al en bevat tabellen. Kies een nieuwe databasenaam "
+                               "om er een kopie in te zetten.")
+        else:
+            cur.execute(f"CREATE DATABASE `{db_naam}` CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci")
+            zelf_aangemaakt = True
+        cur.execute(f"SHOW FULL TABLES FROM `{bron_db}` WHERE Table_type = 'BASE TABLE'")
+        tabellen = [r[0] for r in cur.fetchall()]
+        cur.execute("SET FOREIGN_KEY_CHECKS = 0")
+        rijen = 0
+        for t in tabellen:
+            cur.execute(f"CREATE TABLE `{db_naam}`.`{t}` LIKE `{bron_db}`.`{t}`")
+            cur.execute(f"INSERT INTO `{db_naam}`.`{t}` SELECT * FROM `{bron_db}`.`{t}`")
+            rijen += max(cur.rowcount or 0, 0)
+        cur.execute("SET FOREIGN_KEY_CHECKS = 1")
+        conn.commit()
+        return True, (f"Database {db_naam} aangemaakt als kopie van {bron.naam}: "
+                      f"{len(tabellen)} tabellen, {rijen} rijen gegevens.")
+    except Exception as e:
+        try:
+            conn.rollback()
+            cur.execute("SET FOREIGN_KEY_CHECKS = 1")
+            if zelf_aangemaakt:
+                cur.execute(f"DROP DATABASE IF EXISTS `{db_naam}`")
+        except Exception:
+            pass
+        return False, f"School kopiëren mislukt: {e}"
+    finally:
+        cur.close()
+        conn.close()
+
+
+def kopieer_rechten(bron, nieuwe_code, door=None):
+    """Geeft iedereen die rechten heeft in `bron` dezelfde rechten in de nieuwe school."""
+    nieuw = school_op_code(nieuwe_code, ook_inactief=True)
+    if not nieuw:
+        return 0
+    central_query("INSERT IGNORE INTO Gebruiker_rechten (Gebruiker_ID, School_ID, Onderdeel_ID, Toegekend_op, Toegekend_door) "
+                  "SELECT Gebruiker_ID, %s, Onderdeel_ID, NOW(), %s FROM Gebruiker_rechten WHERE School_ID = %s",
+                  (nieuw.id, door, bron.id), commit=True)
+    return central_query("SELECT COUNT(DISTINCT Gebruiker_ID) AS n FROM Gebruiker_rechten WHERE School_ID = %s",
+                         (nieuw.id,))[0]['n']
+
+
+# ------------------------------------------------------------------
+# Verbindingstest
+# ------------------------------------------------------------------
+def test_school(school):
+    """Test elke ingestelde koppeling. Geeft een lijst (onderdeel, ok|None, detail)."""
+    res = []
+    with in_school(school):
+        # Database (eerst tabelnamen met hoofdletters herstellen, voor een database die van Windows komt)
+        try:
+            from services.tabelnamen import herstel_school
+            for m in herstel_school(school):
+                res.append(('Tabelnamen', 'mislukt' not in m and 'samen' not in m, m))
+        except Exception as e:
+            res.append(('Tabelnamen', False, str(e)[:200]))
+        try:
+            n = execute_query("SELECT COUNT(*) AS n FROM information_schema.tables WHERE table_schema = DATABASE()")[0]['n']
+            heeft = execute_query("SHOW TABLES LIKE 'Toestellen'")
+            res.append(('Database', bool(heeft), f"{school.db_naam}: {n} tabellen"
+                        + ('' if heeft else " – tabel Toestellen ontbreekt (python beheer.py nieuwe-schooldatabase)")))
+        except Exception as e:
+            res.append(('Database', False, str(e)))
+
+        # Smartschool webservices
+        if school.heeft('SS_API_PLATFORM', 'SS_API_PW'):
+            try:
+                from services.smartschool_api import SmartschoolService
+                from config import Config
+                ss = SmartschoolService(Config.SS_API_PLATFORM, Config.SS_API_PW)
+                raw = ss.client.service.getClassListJson(Config.SS_API_PW)
+                if isinstance(raw, (int, float)) or (isinstance(raw, str) and raw.strip().lstrip('-').isdigit()):
+                    res.append(('Smartschool webservices', False, f"foutcode {raw} (wachtwoord of rechten)"))
+                else:
+                    res.append(('Smartschool webservices', True, Config.SS_API_PLATFORM))
+            except Exception as e:
+                res.append(('Smartschool webservices', False, str(e)[:200]))
+        else:
+            res.append(('Smartschool webservices', None, 'niet ingesteld'))
+
+        # Smartschool OneRoster
+        if school.heeft('SS_API_PLATFORM', 'SS_CLIENT_ID', 'SS_CLIENT_SECRET'):
+            try:
+                from config import Config
+                r = requests.post(Config.SS_TOKEN_URL, data={"grant_type": "client_credentials"},
+                                  auth=(Config.SS_CLIENT_ID, Config.SS_CLIENT_SECRET), timeout=10)
+                res.append(('Smartschool OneRoster', r.ok and bool(r.json().get('access_token')),
+                            'token ontvangen' if r.ok else f"HTTP {r.status_code}"))
+            except Exception as e:
+                res.append(('Smartschool OneRoster', False, str(e)[:200]))
+        else:
+            res.append(('Smartschool OneRoster', None, 'niet ingesteld'))
+
+        # Informat: eerst de leerlingen-API; lukt die niet, dan de Internaat-API (een internaat gebruikt in
+        # Informat geen leerlingen maar internen, dus de leerlingen-scope wordt daar geweigerd)
+        if _informat_ingesteld(school):
+            fout = None
+            if school.heeft('INFORMAT_INST_NUMBER'):
+                try:
+                    from services.sync_service import SyncService
+                    if SyncService().get_informat_token():
+                        res.append(('Informat', True, 'token ontvangen (leerlingen)'))
+                    else:
+                        fout = 'authenticatie mislukt'
+                except Exception as e:
+                    fout = str(e)[:200]
+            else:
+                fout = 'geen instellingsnummer voor leerlingen'
+            if fout is not None:
+                try:
+                    from services.internaat_service import InternaatService
+                    svc = InternaatService()
+                    if not svc.nummers:
+                        raise RuntimeError('geen instellingsnummer')
+                    for nr in svc.nummers:
+                        svc._token(nr)
+                    res.append(('Informat', True, f"token ontvangen (internaat {', '.join(svc.nummers)})"))
+                except Exception as e:
+                    res.append(('Informat', False, f"{fout}; internaat: {str(e)[:150]}"))
+        else:
+            res.append(('Informat', None, 'niet ingesteld'))
+
+        # Google
+        if school.google_sleutel and not school.heeft('ADMIN_EMAIL'):
+            res.append(('Google Workspace', False, "Sleutel staat erin, maar 'Beheerder (Google-admin)' is nog niet "
+                        "ingevuld (Algemeen). PIVOT moet weten namens welk beheerdersaccount het werkt."))
+        elif school.google_sleutel:
+            try:
+                from services.google_service import GoogleAdminService
+                svc = GoogleAdminService()
+                svc.service.users().list(customer='my_customer', maxResults=1).execute()
+                res.append(('Google Workspace', True, f"namens {school.get('ADMIN_EMAIL')}"))
+            except Exception as e:
+                res.append(('Google Workspace', False, google_fout_uitleg(str(e), school)))
+        else:
+            res.append(('Google Workspace', None, 'geen serviceaccount-sleutel'))
+
+        # Signpost
+        if school.heeft('M4S_CLIENT_ID', 'M4S_CLIENT_SECRET'):
+            from services.signpost_byod_service import get_signpost_token
+            ok = bool(get_signpost_token())
+            res.append(('Signpost / M4S', ok, 'token ontvangen' if ok else 'authenticatie mislukt'))
+        else:
+            res.append(('Signpost / M4S', None, 'niet ingesteld'))
+    return res
+
+
+def google_fout_uitleg(fout, school):
+    """Vertaalt de meest voorkomende Google-fouten naar wat je moet nakijken."""
+    admin = school.get('ADMIN_EMAIL')
+    f = fout.lower()
+    # Bij een HttpError staat de eigenlijke reden na 'returned "...": die tonen i.p.v. de lange URL
+    m = re.search(r'returned "([^"]+)"', fout)
+    reden = m.group(1) if m else fout
+    if 'has not been used' in f or 'is disabled' in f or 'accessnotconfigured' in f or 'service_disabled' in f:
+        uitleg = ("De Admin SDK API staat nog niet aan in het Google Cloud-project van het serviceaccount "
+                  "(console.cloud.google.com › API's en services › Bibliotheek › Admin SDK API › Inschakelen).")
+    elif 'unauthorized_client' in f:
+        uitleg = ("De domeinbrede delegatie is (nog) niet in orde: controleer in admin.google.com › Beveiliging › "
+                  "API-beheer › Domeinbrede delegatie de client-ID (Unieke ID van het serviceaccount) en de OAuth-bereiken. "
+                  "Een nieuwe instelling kan tot een uur duren.")
+    elif 'invalid_grant' in f:
+        uitleg = (f"Google kent het beheerdersaccount '{admin}' niet of het is geschorst. "
+                  "Vul bij 'Beheerder (Google-admin)' een bestaand account van dit domein in.")
+    elif 'not authorized' in f or '403' in f:
+        uitleg = (f"'{admin}' mag de gebruikerslijst niet lezen in Google. Controleer in admin.google.com › Account › "
+                  "Beheerdersrollen dat dit account superbeheerder is (een gewone gebruiker of een beheerder met een "
+                  "beperkte rol volstaat niet), en dat het in dezelfde Google-organisatie zit als de domeinbrede delegatie.")
+    elif 'invalid input' in f:
+        uitleg = (f"Google aanvaardt '{admin}' niet als beheerder van dit domein. Controleer of 'Beheerder (Google-admin)' "
+                  "een echt beheerdersaccount is (geen groep of alias) van hetzelfde domein als het serviceaccount.")
+    else:
+        return fout[:300]
+    return f"{uitleg} (Google: {reden[:200]})"
+
+
+@scholen_bp.route('/<code>/test', methods=['POST'])
+def test(code):
+    if not session.get('auth'):
+        return redirect(url_for('auth.login'))
+    if not session.get('superbeheerder') and not rechten.heeft_recht('koppelingen'):
+        flash("Onvoldoende rechten voor deze actie.", "error")
+        return redirect(url_for('main.dashboard'))
+    if not session.get('superbeheerder') and code != session.get('school'):
+        flash("Je kan enkel je eigen school testen.", "error")
+        return redirect(url_for('main.dashboard'))
+    school = school_op_code(code, ook_inactief=True)
+    if not school:
+        flash("Onbekende school.", "error")
+        return redirect(url_for('main.dashboard'))
+    resultaten = test_school(school)
+    try:
+        bewaar_test(school, resultaten)
+    except Exception as e:
+        sys.stderr.write(f"PIVOT: testresultaat bewaren mislukt: {e}\n")
+    return render_template('school_test.html', school=school, resultaten=resultaten)
+
+
+@scholen_bp.route('/alles-testen', methods=['POST'])
+@superbeheerder_required
+def alles_testen():
+    """Test de koppelingen van alle actieve scholen en werkt de badges in het overzicht bij."""
+    goed, fout = 0, []
+    for school in alle_scholen():
+        try:
+            res = test_school(school)
+            bewaar_test(school, res)
+            if any(ok is False for _, ok, _ in res):
+                fout.append(school.naam)
+            else:
+                goed += 1
+        except Exception as e:
+            fout.append(f"{school.naam} ({e})")
+    flash(f"{goed} school/scholen zonder fouten." + (f" Met fouten: {', '.join(fout)}." if fout else ""),
+          "warning" if fout else "success")
+    return redirect(url_for('scholen.overzicht'))
diff --git a/blueprints/sgr_groepen_bp.py b/blueprints/sgr_groepen_bp.py
new file mode 100644
index 0000000..ee0e084
--- /dev/null
+++ b/blueprints/sgr_groepen_bp.py
@@ -0,0 +1,65 @@
+"""Smartschool › SGR groepen: subgroepen van de hoofdgroep (standaard 'groepen GO-Antwerpen') met hun leden."""
+import csv
+import io
+import time
+from datetime import date
+
+from flask import Blueprint, render_template, request, Response, redirect, url_for, flash
+
+from blueprints.auth import login_required
+from rechten import recht_vereist
+from services import sgr_groepen_service as sgr
+from tenancy import huidige_school
+
+sgr_groepen_bp = Blueprint('sgr_groepen', __name__)
+
+
+def _gevraagd():
+    return (request.args.get('groep') or '').strip() or None
+
+
+@sgr_groepen_bp.route("/", methods=["GET"])
+@login_required
+@recht_vereist('sgr_groepen')
+def overzicht():
+    school = huidige_school()
+    standaard = (school.get('SS_SGR_GROEP') or sgr.STANDAARD_GROEP).strip()
+    gevraagd = _gevraagd()
+    hoofd, groepen, fout, opgehaald = None, [], None, None
+    try:
+        hoofd, groepen, t = sgr.overzicht(gevraagd, vernieuw=bool(request.args.get('vernieuw')))
+        opgehaald = time.strftime('%d-%m-%Y %H:%M', time.localtime(t))
+    except sgr.SgrFout as e:
+        fout = str(e)
+    except Exception as e:
+        fout = f"Groepen ophalen uit Smartschool mislukt: {e}"
+    if request.args.get('vernieuw'):
+        return redirect(url_for('sgr_groepen.overzicht', groep=gevraagd))
+    leden = [l for g in groepen for l in g['leden']]
+    return render_template("sgr_groepen.html", hoofd=hoofd, groepen=groepen, fout=fout, opgehaald=opgehaald,
+                           groep=gevraagd or standaard, standaard=standaard, school_naam=school.naam,
+                           aantal_leden=len(leden),
+                           uniek=len({l['gebruikersnaam'] or (l['naam'], l['voornaam']) for l in leden}))
+
+
+@sgr_groepen_bp.route("/export.csv", methods=["GET"])
+@login_required
+@recht_vereist('sgr_groepen')
+def export():
+    try:
+        hoofd, groepen, _ = sgr.overzicht(_gevraagd())
+    except Exception as e:
+        flash(f"Kon niet exporteren: {e}", "error")
+        return redirect(url_for('sgr_groepen.overzicht', groep=_gevraagd()))
+    buf = io.StringIO()
+    w = csv.writer(buf, delimiter=';')
+    w.writerow(['Groep', 'Pad', 'Groepscode', 'Naam', 'Voornaam', 'Gebruikersnaam', 'Rol', 'E-mail'])
+    for g in groepen:
+        pad = ' › '.join(g['pad'] + [g['naam']])
+        if not g['leden']:
+            w.writerow([g['naam'], pad, g['code'], '', '', '', '', ''])
+        for l in g['leden']:
+            w.writerow([g['naam'], pad, g['code'], l['naam'], l['voornaam'], l['gebruikersnaam'], l['rol'], l['email']])
+    naam = ''.join(c if c.isalnum() else '_' for c in hoofd['naam'])[:40]
+    return Response('' + buf.getvalue(), mimetype='text/csv',
+                    headers={'Content-Disposition': f'attachment; filename=SGR_{naam}_{date.today():%Y%m%d}.csv'})
diff --git a/blueprints/signpost_devices_bp.py b/blueprints/signpost_devices_bp.py
new file mode 100644
index 0000000..f44b6eb
--- /dev/null
+++ b/blueprints/signpost_devices_bp.py
@@ -0,0 +1,135 @@
+import requests
+from flask import Blueprint, render_template, request, flash, redirect, url_for
+from database import execute_query
+from services import toestellen as tst
+from blueprints.auth import login_required
+from rechten import recht_vereist
+# Importeer de benodigdheden uit je bestaande service-bestand
+from services.signpost_byod_service import BASE_DATA_URL, get_signpost_token, signpost_token_met_reden
+
+signpost_devices_bp = Blueprint('signpost_devices', __name__)
+
+def sync_signpost_devices_to_db():
+    """
+    Haalt alle toestellen op via de Signpost-API en voegt toestellen die 
+    nog niet bestaan (op basis van serienummer) toe aan Signpost_database.
+    """
+    token, fout = signpost_token_met_reden()
+    if not token:
+        return False, fout
+
+    headers = {
+        "Authorization": f"Bearer {token}",
+        "Accept": "application/json"
+    }
+    
+    page_number = 1
+    page_size = 100
+    toegevoegd_teller = 0
+    overgeslagen_teller = 0
+
+    print("Starten met synchroniseren van toestellen naar Signpost_database...")
+
+    while True:
+        params = {
+            "$top": page_size,
+            "$skip": (page_number - 1) * page_size
+        }
+        
+        url = "https://byod-api.signpost.be/v1/devices"
+        
+        try:
+            res = requests.get(url, headers=headers, params=params, timeout=15)
+            if res.status_code != 200:
+                print(f"Fout bij pagina {page_number}: {res.status_code}")
+                return False, f"Signpost API gaf foutcode {res.status_code} op pagina {page_number}."
+                
+            data = res.json()
+            items = data.get("items", [])
+            
+            if not items:
+                break
+            
+            for item in items:
+                signpost_nummer = item.get("signpostLabel")
+                serienummer = item.get("serialNumber")
+                model = item.get("modelName")
+                warranty_void_raw = item.get("warrantyVoidAt")
+                
+                garantie = warranty_void_raw.split("T")[0] if warranty_void_raw else None
+
+                if not serienummer:
+                    continue
+
+                # Bestaat het toestel al (op serienummer)? Zo niet: aanmaken in Toestellen.
+                bestaand = execute_query(
+                    "SELECT t.Toestel_ID, sp.Toestel_ID AS heeft_signpost FROM Toestellen t "
+                    "LEFT JOIN Signpost_DB sp ON sp.Toestel_ID = t.Toestel_ID WHERE t.Serienummer = %s LIMIT 1",
+                    (serienummer,))
+                if bestaand and bestaand[0]['heeft_signpost']:
+                    overgeslagen_teller += 1
+                    continue
+                toestel_id = bestaand[0]['Toestel_ID'] if bestaand else tst.nieuw_toestel(
+                    serienummer=serienummer, type_toestel=model)
+                execute_query(
+                    "INSERT INTO Signpost_DB (Toestel_ID, Signpostnummer, Garantie) VALUES (%s, %s, %s) "
+                    "ON DUPLICATE KEY UPDATE Signpostnummer = VALUES(Signpostnummer), Garantie = VALUES(Garantie)",
+                    (toestel_id, signpost_nummer or None, garantie), commit=True)
+                toegevoegd_teller += 1
+
+            if len(items) < page_size:
+                break
+                
+            page_number += 1
+
+        except Exception as e:
+            import traceback
+            print(f"Fout tijdens database/API sync: {e}")
+            traceback.print_exc()  # Dit print de échte boosdoener in je terminal (bijv. IndexError of MySQL-fout)
+            return False, f"Er is een fout opgetreden tijdens de synchronisatie: {str(e)}"
+
+    return True, f"Synchronisatie voltooid! {toegevoegd_teller} nieuw(e) toestel(len) toegevoegd. {overgeslagen_teller} bestaand(e) toestel(len) overgeslagen."
+
+@signpost_devices_bp.route('/signpost_database', methods=['GET', 'POST'])
+@login_required
+@recht_vereist('signpost')
+def signpost_database_overzicht():
+    # Komt overeen met jouw methode om de query op te vangen bij GET of POST
+    query = request.form.get('query') if request.method == 'POST' else request.args.get('query')
+    
+    # De basis-query aangepast naar de tabel Signpost_database en de gevraagde kolommen
+    basis_sql = """
+        SELECT sp.Signpostnummer, t.Serienummer AS Device_serienummer, t.Type AS Device_model, sp.Garantie,
+               sp.Aankoopbedrag, sp.Aankoopdatum, t.Schooleigen_ID
+        FROM Signpost_DB sp
+        JOIN Toestellen t ON t.Toestel_ID = sp.Toestel_ID
+    """
+    
+    if query:
+        # Als er gezocht wordt, zoeken we veilig op serienummer of signpostnummer
+        sql = basis_sql + " WHERE t.Serienummer LIKE %s OR sp.Signpostnummer LIKE %s ORDER BY Signpostnummer DESC"
+        params = (f"%{query}%", f"%{query}%")
+        results = execute_query(sql, params)
+    else:
+        # Als er geen zoekterm is, halen we alles op
+        sql = basis_sql + " ORDER BY Signpostnummer DESC"
+        results = execute_query(sql)
+
+    # We sturen de resultaten door naar de HTML-pagina
+    return render_template('signpost_devices.html', results=results, query=query)
+
+
+@signpost_devices_bp.route('/sync_signpost', methods=['POST'])
+@login_required
+@recht_vereist('signpost')
+def sync_signpost():
+    # Voer de vernieuwde synchronisatie uit
+    succes, melding = sync_signpost_devices_to_db()
+    
+    if succes:
+        flash(melding, 'success')
+    else:
+        flash(melding, 'danger')
+        
+    # Stuur de gebruiker terug naar het overzicht
+    return redirect(url_for('signpost_devices.signpost_database_overzicht'))
\ No newline at end of file
diff --git a/blueprints/skore_bp.py b/blueprints/skore_bp.py
new file mode 100644
index 0000000..b0bff51
--- /dev/null
+++ b/blueprints/skore_bp.py
@@ -0,0 +1,66 @@
+"""Skore-synchronisatie in Smartschool: manueel starten, planning instellen en logboek bekijken."""
+from flask import Blueprint, render_template, request, redirect, url_for, flash, session
+
+from blueprints.auth import login_required
+from rechten import recht_vereist
+import rechten
+from services import skore_service as skore
+
+skore_bp = Blueprint('skore', __name__)
+
+
+@skore_bp.route('/', methods=['GET'])
+@login_required
+@recht_vereist('skore')
+def overzicht():
+    try:
+        p = skore.planning()
+        log = skore.logboek()
+    except Exception as e:
+        flash(f"Kon de Skore-gegevens niet lezen: {e}", "error")
+        p, log = None, []
+    try:
+        loopt = skore.bezig()
+    except Exception:
+        loopt = False
+    return render_template('skore.html', planning=p, log=log, frequenties=skore.FREQUENTIES, loopt=loopt,
+                           weekdagen=skore.WEEKDAGEN, volgende=skore.volgende_moment(p) if p else None)
+
+
+@skore_bp.route('/start', methods=['POST'])
+@login_required
+@recht_vereist('skore')
+def start():
+    rij = skore.start(session.get('user'), manier='manueel')
+    rechten.log(actie="Skore-synchronisatie gestart")
+    if rij['Status'] == 'mislukt':
+        flash(rij['Melding'], "error")
+    else:
+        flash("Skore-synchronisatie gestart bij Smartschool. PIVOT volgt de status automatisch op; "
+              "deze pagina ververst vanzelf tot ze klaar is.", "success")
+    return redirect(url_for('skore.overzicht'))
+
+
+@skore_bp.route('/status/<int:log_id>', methods=['POST'])
+@login_required
+@recht_vereist('skore')
+def status(log_id):
+    rij = skore.controleer(log_id)
+    if rij:
+        flash(f"Status: {rij['Status']}", "info")
+    return redirect(url_for('skore.overzicht'))
+
+
+@skore_bp.route('/planning', methods=['POST'])
+@login_required
+@recht_vereist('skore')
+def planning():
+    f = request.form
+    try:
+        skore.bewaar_planning(f.get('frequentie', 'uit'), f.get('uur', 6), f.get('minuut', 0),
+                              f.get('weekdag', 0), f.get('dag_van_maand', 1), session.get('user'))
+        rechten.log(actie=f"Skore-planning: {f.get('frequentie')}")
+        flash("Planning opgeslagen.", "success")
+    except (ValueError, TypeError) as e:
+        flash(str(e) or "Ongeldige planning.", "error")
+    return redirect(url_for('skore.overzicht'))
diff --git a/blueprints/smartschool_activiteit_bp.py b/blueprints/smartschool_activiteit_bp.py
new file mode 100644
index 0000000..0d8d302
--- /dev/null
+++ b/blueprints/smartschool_activiteit_bp.py
@@ -0,0 +1,104 @@
+from flask import Blueprint, render_template, request, flash, jsonify, redirect, url_for, Response
+from services.smartschool_api import SmartschoolService  
+from config import Config
+from services.google_service import GoogleAdminService
+from blueprints.auth import login_required
+from rechten import recht_vereist
+from services.coaccounts_service import CoAccountsService
+from tenancy import huidige_school
+# Definieer de blueprint
+ss_bp = Blueprint('smartschool', __name__)
+
+
+
+
+@ss_bp.route('/coaccount-overzicht', methods=['GET'])
+@login_required
+@recht_vereist('smartschool_activiteit')
+def coaccount_overzicht():
+    """Alle co-accounts van alle leerlingen (klas, leerling, laatste aanmelding). Standaard enkel wie nog nooit
+    aanmeldde. De gegevens worden op de achtergrond opgehaald als ze ouder zijn dan een dag."""
+    svc = CoAccountsService()
+    rows, fout, laatst = [], None, None
+    ingesteld = huidige_school().heeft('SS_API_PLATFORM', 'SS_API_PW')
+    try:
+        svc.ensure_tables()
+        if ingesteld and svc.verouderd():
+            svc.sync_op_achtergrond()
+        rows, laatst = svc.alle(), svc.laatst_opgehaald()
+    except Exception as e:
+        fout = f"Gegevens konden niet gelezen worden: {e}"
+    return render_template('smartschool_activiteit.html', rows=rows, fout=fout, laatst=laatst,
+                           ingesteld=ingesteld, status=svc.status,
+                           nooit=sum(1 for r in rows if not r['Laatste_login']),
+                           leerlingen=len({r['Internnummer'] for r in rows}))
+
+
+@ss_bp.route('/coaccount-overzicht/ophalen', methods=['POST'])
+@login_required
+@recht_vereist('smartschool_activiteit')
+def coaccount_ophalen():
+    if not huidige_school().heeft('SS_API_PLATFORM', 'SS_API_PW'):
+        flash("Smartschool is nog niet ingesteld voor deze school (🔌 Koppelingen › Smartschool).", "error")
+    elif CoAccountsService().sync_op_achtergrond():
+        flash("Co-accounts worden opgehaald uit Smartschool. Dit kan enkele minuten duren.", "info")
+    else:
+        flash("Er loopt al een ophaling.", "warning")
+    return redirect(url_for('smartschool.coaccount_overzicht'))
+
+
+@ss_bp.route('/coaccount-overzicht/status.json', methods=['GET'])
+@login_required
+@recht_vereist('smartschool_activiteit')
+def coaccount_status():
+    s = CoAccountsService().status
+    return jsonify(bezig=s['bezig'], voortgang=s['voortgang'], totaal=s['totaal'], fout=s['fout'],
+                   resultaat=s['resultaat'])
+
+
+@ss_bp.route('/coaccount-overzicht/export.csv', methods=['GET'])
+@login_required
+@recht_vereist('smartschool_activiteit')
+def coaccount_export():
+    """CSV met dezelfde filters als de tabel: ?nooit=1 (enkel nog nooit aangemeld) en ?zoek=..."""
+    import csv, io
+    from datetime import date
+    rows = CoAccountsService().alle()
+    if request.args.get('nooit') == '1':
+        rows = [r for r in rows if not r['Laatste_login']]
+    zoek = (request.args.get('zoek') or '').strip().lower()
+    if zoek:
+        velden = ('Klas', 'Leerling_voornaam', 'Leerling_naam', 'Gebruikersnaam', 'Internnummer', 'Voornaam', 'Naam', 'Email')
+        rows = [r for r in rows if zoek in ' '.join(str(r[v] or '') for v in velden).lower()]
+    buf = io.StringIO()
+    w = csv.writer(buf, delimiter=';')       # ; zodat Excel (Belgische instellingen) de kolommen meteen splitst
+    w.writerow(['Klas', 'Leerling naam', 'Leerling voornaam', 'Internnummer', 'Co-account voornaam', 'Co-account naam',
+                'Type', 'E-mail', 'Laatste aanmelding'])
+    for r in rows:
+        w.writerow([r['Klas'] or '', r['Leerling_naam'] or '', r['Leerling_voornaam'] or '', r['Internnummer'],
+                    r['Voornaam'] or '', r['Naam'] or '', r['Type'] or '', r['Email'] or '',
+                    r['Laatste_login'].strftime('%d-%m-%Y %H:%M') if r['Laatste_login'] else 'Nooit'])
+    naam = f"co-accounts{'_nooit_aangemeld' if request.args.get('nooit') == '1' else ''}_{date.today():%Y%m%d}.csv"
+    return Response('\ufeff' + buf.getvalue(), mimetype='text/csv; charset=utf-8',
+                    headers={'Content-Disposition': f'attachment; filename={naam}'})
+
+
+@ss_bp.route('/send-reminder-email', methods=['POST'])
+@login_required
+@recht_vereist('smartschool_activiteit')
+def send_reminder():
+    data = request.json
+    email = data.get('email')
+    subject = data.get('subject')
+    message_body = data.get('message')
+
+    if not email or "@" not in email:
+        return jsonify({"status": "error", "message": "Geen geldig e-mailadres gevonden voor dit co-account."}), 400
+
+    email_service = GoogleAdminService()
+    success, msg = email_service.send_custom_mail(email, subject, message_body)
+
+    if success:
+        return jsonify({"status": "success", "message": msg})
+    else:
+        return jsonify({"status": "error", "message": f"Fout bij verzenden: {msg}"}), 500
\ No newline at end of file
diff --git a/blueprints/smartschool_bp.py b/blueprints/smartschool_bp.py
new file mode 100644
index 0000000..57ff223
--- /dev/null
+++ b/blueprints/smartschool_bp.py
@@ -0,0 +1,108 @@
+from flask import Blueprint, render_template, request, jsonify, make_response, flash
+from io import BytesIO  # <-- Deze regel lost de NameError op
+from xhtml2pdf import pisa 
+from datetime import datetime
+from services.smartschool_api import SmartschoolService 
+from config import Config
+from database import execute_query
+from tenancy import per_school
+from blueprints.auth import login_required
+from rechten import recht_vereist
+
+smartschool_bp = Blueprint("/ss",__name__)
+
+# Eén Smartschool-client per school (met het webservice-wachtwoord van die school)
+ss_service = per_school(lambda: SmartschoolService(
+    platform=Config.SS_API_PLATFORM,
+    webservice_pwd=Config.SS_API_PW
+))
+
+@smartschool_bp.route('/smartschool', methods=['GET', 'POST'])
+@login_required
+@recht_vereist('smartschool')
+def smartschool():
+    results = []
+    query = (request.form.get('query') or '').strip()
+    if request.method == 'POST' and query:
+        # 1) Exact internnummer of gebruikersnaam: rechtstreeks bij Smartschool
+        try:
+            user_data = ss_service.get_student_details(query)
+        except Exception as e:
+            user_data = None
+            flash(f"Smartschool is niet bereikbaar of nog niet ingesteld voor deze school ({e}).", "error")
+        if user_data:
+            results = [user_data]
+        else:
+            # 2) Deel van een naam, voornaam of gebruikersnaam: zoeken in de leerlingen van PIVOT
+            results = zoek_leerlingen_lokaal(query)
+    return render_template('smartschool_beheer.html', results=results, query=query)
+
+
+MAX_RESULTATEN = 25
+
+
+def zoek_leerlingen_lokaal(query):
+    """Leerlingen uit de tabel Leerlingen (gevuld door de Informat-sync) die op de zoekterm lijken.
+    Geeft dicts met dezelfde sleutels als Smartschool (internnummer, voornaam, naam, gebruikersnaam)."""
+    zoek = f"%{query}%"
+    rows = execute_query(
+        "SELECT Internnummer, Voornaam, Naam, Gebruikersnaam FROM Leerlingen "
+        "WHERE Internnummer = %s OR Gebruikersnaam LIKE %s OR Voornaam LIKE %s OR Naam LIKE %s "
+        "   OR CONCAT_WS(' ', Voornaam, Naam) LIKE %s OR CONCAT_WS(' ', Naam, Voornaam) LIKE %s "
+        "ORDER BY Naam, Voornaam LIMIT %s",
+        (query, zoek, zoek, zoek, zoek, zoek, MAX_RESULTATEN))
+    return [{'internnummer': r['Internnummer'], 'voornaam': r['Voornaam'] or '', 'naam': r['Naam'] or '',
+             'gebruikersnaam': r['Gebruikersnaam'] or ''} for r in rows]
+
+@smartschool_bp.route('/smartschool/reset', methods=['POST'])
+@login_required
+@recht_vereist('smartschool')
+def smartschool_reset():
+    identifier = request.form.get('username')
+    new_pass = request.form.get('new_password')
+    acc_type = int(request.form.get('account_type', 0))
+    generate_pdf = request.form.get('generate_pdf') == 'true'
+    display_name = request.form.get('display_name') # Ontvang de naam uit de browser
+    
+    result = ss_service.reset_password(identifier, new_pass, acc_type)
+    
+    if result == "0":
+        if generate_pdf:
+            # We gebruiken de display_name die we van de frontend hebben gekregen
+            # Voor de e-mail label kunnen we nog steeds student details ophalen indien nodig
+            student_data = ss_service.get_student_details(identifier)
+            
+            email_label = student_data.get('gebruikersnaam') if acc_type == 0 else f"Co-account van {student_data['voornaam']}"
+
+            rendered_html = render_template(
+                'pdf_template_leerling.html',
+                naam=display_name,
+                datum=datetime.now().strftime("%d/%m/%Y"),
+                email=email_label,
+                wachtwoord=new_pass
+            )
+            
+            pdf_out = BytesIO()
+            pisa_status = pisa.CreatePDF(rendered_html, dest=pdf_out)
+            
+            if pisa_status.err:
+                return jsonify({"status": "error", "message": "PDF generatie mislukt"})
+            
+            pdf_out.seek(0)
+            response = make_response(pdf_out.read())
+            response.headers['Content-Type'] = 'application/pdf'
+            response.headers['Content-Disposition'] = f'attachment; filename=Account_{identifier}.pdf'
+            return response
+        
+        return jsonify({"status": "success"})
+    
+    return jsonify({"status": "error", "message": f"Code {result}"})
+
+@smartschool_bp.route('/smartschool/coaccounts', methods=['POST'])
+@login_required
+@recht_vereist('smartschool')
+def smartschool_coaccounts():
+    username = request.form.get('username')
+    # Gebruik de nieuwe parser functie
+    co_accounts = ss_service.get_co_accounts_from_details(username)
+    return jsonify({"status": "success", "accounts": co_accounts})
\ No newline at end of file
diff --git a/blueprints/students.py b/blueprints/students.py
new file mode 100644
index 0000000..dfd5cc4
--- /dev/null
+++ b/blueprints/students.py
@@ -0,0 +1,190 @@
+from flask import Blueprint, render_template, request, session, redirect, url_for, flash
+from database import execute_query, get_db_connection
+from blueprints.auth import login_required
+from rechten import recht_vereist
+from services.google_service import GoogleAdminService
+from services.sync_service import SyncService, InformatSmartschoolSync
+from config import Config
+students_bp = Blueprint('students', __name__)
+
+#-----------------------------------------------
+# --- ROUTE: INVENTARIS LEERLINGEN ---
+#-----------------------------------------------
+@students_bp.route('/inventaris', methods=["GET", "POST"])
+@login_required
+@recht_vereist('leerlingen_bekijken')
+def inventaris_leerlingen():
+    query = request.form.get('query') if request.method == 'POST' else request.args.get('query')
+    toon_vertrokken = (request.form.get('vertrokken') if request.method == 'POST' else request.args.get('vertrokken')) == '1'
+    from services.sync_service import zorg_vertrokken_kolom
+    zorg_vertrokken_kolom()
+    
+    # De basis-query waarin we de tabellen 'Leerlingen' (l) en 'Schooljaar' (s) aan elkaar koppelen
+    basis_sql = """
+        SELECT 
+            l.Internnummer, 
+            l.Gebruikersnaam, 
+            l.Voornaam, 
+            l.Naam, 
+            l.SS_nummer, 
+            l.Google_adres,
+            l.Vertrokken_op,
+            s.Schooljaar AS Schooljaar -- Hier halen we de tekst (bijv. '2025-2026') op!
+        FROM Leerlingen l
+        LEFT JOIN Schooljaar s ON l.Schooljaar_ID = s.Schooljaar_ID
+    """
+
+    voorwaarden, params = [], []
+    if query:
+        voorwaarden.append("(l.Gebruikersnaam LIKE %s OR l.Internnummer LIKE %s OR l.Naam LIKE %s OR l.Voornaam LIKE %s)")
+        params += [f"%{query}%"] * 4
+    if not toon_vertrokken:
+        voorwaarden.append("l.Vertrokken_op IS NULL")
+    sql = basis_sql + (" WHERE " + " AND ".join(voorwaarden) if voorwaarden else "")
+    data = execute_query(sql, tuple(params))
+    vertrokken = (execute_query("SELECT COUNT(*) AS n FROM Leerlingen WHERE Vertrokken_op IS NOT NULL") or [{'n': 0}])[0]['n']
+
+    return render_template('Inventaris_Leerlingen.html', results=data, query=query,
+                           toon_vertrokken=toon_vertrokken, aantal_vertrokken=vertrokken)
+
+#----------------------------------------
+# --- ROUTE: BEWERK GEBRUIKER ---
+#----------------------------------------
+@students_bp.route("/bewerk_gebruiker", methods=["POST"])
+@login_required
+@recht_vereist('leerlingen_bekijken')
+def bewerk_gebruiker():
+    print("bewerken wordt uitgevoerd")
+    internnummer = request.form.get("internnummer")
+    gebruikersnaam = request.form.get("gebruikersnaam")
+    ss_nummer = request.form.get("ss_nummer")
+    google_adres = request.form.get('google_adres')
+    naam= request.form.get('naam')
+    voornaam= request.form.get('voornaam')
+    query = request.form.get("query", "")
+
+    if not internnummer:
+        flash("Fout: Geen internnummer ontvangen.", "error")
+        return redirect(url_for("students.inventaris_leerlingen"))
+
+    sql = "UPDATE Leerlingen SET Gebruikersnaam = %s, SS_nummer = %s, Google_adres = %s, Naam = %s, Voornaam= %s WHERE Internnummer = %s"
+    rows_affected = execute_query(sql, (gebruikersnaam, ss_nummer, google_adres, naam, voornaam, internnummer ), commit=True)
+
+    if rows_affected:
+        flash(f"Gegevens voor {internnummer} succesvol bijgewerkt!", "success")
+    else:
+        flash("Er zijn geen wijzigingen opgeslagen.", "info")
+
+    return redirect(url_for("students.inventaris_leerlingen", query=query))
+
+#----------------------------------------------------
+# --- ROUTE: SYNC GOOGLE ACCOUNTS ---
+#----------------------------------------------------
+@students_bp.route("/sync_google_accounts", methods=["GET", "POST"])
+@login_required
+@recht_vereist('leerlingen_synchroniseren')
+def sync_google_accounts():
+    """Maakt Google accounts aan voor leerlingen die er nog geen hebben."""
+    google = GoogleAdminService()
+    
+    # Haal leerlingen op die nog geen email (SS_nummer) hebben
+    lln_zonder_mail = execute_query("SELECT Internnummer, Gebruikersnaam FROM Leerlingen WHERE SS_nummer IS NULL OR SS_nummer = ''")
+    
+    created_count = 0
+    error_count = 0
+
+    for lln in lln_zonder_mail:
+        gebruikersnaam_db = lln['Gebruikersnaam']
+        # Splits naam (bijv: "Janssens.Jan")
+        if "." in gebruikersnaam_db:
+            achternaam, voornaam = gebruikersnaam_db.split(".", 1)
+        else:
+            achternaam, voornaam = gebruikersnaam_db, "lln"
+
+        # Genereer wachtwoord (bijv: 12345Jan)
+        password = f"{lln['Internnummer']}{voornaam.capitalize()}"
+        
+        # Gebruik je service om de gebruiker aan te maken
+        success, message = google.create_user(
+            first_name=voornaam,
+            last_name=achternaam,
+            password=password,
+            org_unit_path=google.conf.OU_NEW_STUDENTS
+        )
+
+        if success:
+            # Update database met het nieuwe emailadres
+            email = f"{voornaam.lower()}.{achternaam.lower()}@{google.conf.SCHOOL_DOMAIN}"
+            execute_query("UPDATE Leerlingen SET SS_nummer = %s WHERE Internnummer = %s", 
+                          (email, lln['Internnummer']), commit=True)
+            created_count += 1
+        else:
+            print(f"Fout voor {gebruikersnaam_db}: {message}")
+            error_count += 1
+
+    flash(f"Sync voltooid: {created_count} accounts aangemaakt, {error_count} fouten.", "success")
+    return redirect(url_for("students.inventaris_leerlingen"))
+
+#-------------------------------------------------------------------
+# --- ROUTE: SYNC INFORMAT (Gebruikmakend van SyncService) ---
+#-------------------------------------------------------------------
+@students_bp.route("/sync_informat", methods=["GET", "POST"])
+@login_required
+@recht_vereist('leerlingen_synchroniseren')
+def sync_informat():
+    """Haalt de nieuwste leerlinggegevens op uit Informat."""
+    #syncer = SyncService()
+    syncer = InformatSmartschoolSync()
+    #success, result = syncer.sync_leerlingen_informat()
+    success, result = syncer.sync_actieve_leerlingen()
+    
+    if success:
+        flash(f"Synchronisatie gelukt: {result['melding']}", "success")
+        if result.get('smartschool_fout'):
+            flash("Smartschool kon niet bevraagd worden, dus gebruikersnamen en Smartschool-nummers zijn niet "
+                  f"aangepast (enkel de gegevens uit Informat). Reden: {result['smartschool_fout']}", "warning")
+    else:
+        flash(f"Synchronisatie mislukt: {result}", "error")
+        
+    return redirect(url_for("students.inventaris_leerlingen"))
+
+#-------------------------------------------------------------------
+# --- Leerling manueel toevoegen
+#-------------------------------------------------------------------
+
+@students_bp.route('/registreer_leerling', methods=['POST'])
+@login_required
+@recht_vereist('leerlingen_synchroniseren')
+def registreer_leerling():
+    print('Toevoegen gestart')
+    # 1. Haal de gegevens uit het formulier op
+    internnummer = request.form.get('inter_id')
+    gebruikersnaam = request.form.get('gebruikersnaam')
+    ss_nummer = request.form.get('ss_nummer')
+    google_adres = request.form.get('google_adres')
+    schooljaar_id= Config.SCHOOLYEAR[:4]
+    naam= request.form.get('naam')
+    voornaam= request.form.get('voornaam')
+
+    # 2. Validatie
+    if not internnummer or not gebruikersnaam:
+        flash('Zowel Internnummer als Gebruikersnaam zijn vereist.', 'danger')
+        return redirect(url_for('students.inventaris_leerlingen'))
+
+    # 3. Opslaan in de database
+    try:
+        # We gebruiken geparametriseerde queries (%s) om SQL-injectie te voorkomen
+        sql = "INSERT INTO Leerlingen (Internnummer, Gebruikersnaam, Naam, Voornaam, SS_nummer, Google_adres, Schooljaar_ID) " \
+        "VALUES (%s, %s, %s, %s, %s, %s, %s)"
+        params = (internnummer, gebruikersnaam,naam, voornaam, ss_nummer,google_adres, schooljaar_id)
+        
+        execute_query(sql, params, commit=True)
+        
+        flash(f'Leerling {gebruikersnaam} (ID: {internnummer}) succesvol toegevoegd aan de database!', 'success')
+    except Exception as e:
+        # Als bijvoorbeeld het internnummer al bestaat (Duplicate Entry)
+        print(f"Database error: {e}")
+        flash('Fout bij het registreren: Mogelijk bestaat dit Internnummer al.', 'danger')
+            
+    # 4. Keer terug naar het overzicht
+    return redirect(url_for('students.inventaris_leerlingen'))
\ No newline at end of file
diff --git a/blueprints/tools.py b/blueprints/tools.py
new file mode 100644
index 0000000..913cf2f
--- /dev/null
+++ b/blueprints/tools.py
@@ -0,0 +1,44 @@
+from flask import Blueprint, render_template, request, session, redirect, url_for, flash
+from blueprints.auth import login_required
+from tenancy import huidige_school
+
+tools_bp = Blueprint('tools', __name__)
+
+
+def _staat():
+    """Internetstatus en notitie: per school bijgehouden (in het geheugen)."""
+    return huidige_school().object('internet_status', lambda: {'status': 1, 'notitie': ''})
+
+
+@tools_bp.route('/internet')
+def internet_status():
+    """Toont de huidige status van de internetverbinding."""
+    staat = _staat()
+    return render_template(
+        'internet_connection.html',
+        current_status=staat['status'],
+        current_note=staat['notitie'],
+        current_user=session.get('user')
+    )
+
+
+@tools_bp.route('/toggle_internet', methods=['POST'])
+def toggle_internet():
+    """Wijzigt de status van de internetverbinding."""
+    new_status = request.form.get('new_status', type=int)
+
+    if new_status in [0, 1]:
+        _staat()['status'] = new_status
+        flash(f"Status gewijzigd naar {'Online' if new_status == 1 else 'Offline'}", "success")
+    else:
+        flash("Ongeldige statuswaarde.", "error")
+
+    return redirect(url_for('tools.internet_status'))
+
+
+@tools_bp.route('/save_note', methods=['POST'])
+def save_note():
+    """Slaat de korte tekst op."""
+    _staat()['notitie'] = request.form.get('status_note', '')
+    flash("Notitie bijgewerkt!", "success")
+    return redirect(url_for('tools.internet_status'))
diff --git a/blueprints/tweestaps_bp.py b/blueprints/tweestaps_bp.py
new file mode 100644
index 0000000..d9c4a38
--- /dev/null
+++ b/blueprints/tweestaps_bp.py
@@ -0,0 +1,177 @@
+from datetime import datetime
+from flask import Blueprint, render_template, request, redirect, url_for, flash, session
+from tenancy import huidige_school, per_school
+from blueprints.auth import login_required
+from rechten import recht_vereist
+from config import Config
+from services.tweestaps_service import TweestapsService, TweestapsError
+
+tweestaps_bp = Blueprint('tweestaps', __name__)
+LOG_PER_PAGINA = 25                      # standaard; te kiezen: 10 / 25 / 50 / 100 / alles (0)
+LOG_KEUZES = (10, 25, 50, 100, 0)
+service = per_school(TweestapsService)
+
+_tables_ready = set()   # scholen waarvoor de tabellen al gecontroleerd zijn
+
+
+def _ensure_tables():
+    if huidige_school().code not in _tables_ready:
+        try:
+            service.ensure_tables()
+            _tables_ready.add(huidige_school().code)
+        except Exception as e:
+            flash(f"Kon de 2FA-tabellen niet aanmaken: {e}", "error")
+
+
+def _render(email=None, codes=None, code_actie=None, fout=None):
+    """Bouwt de pagina op; codes worden enkel in deze response getoond, nooit bewaard of gelogd."""
+    tab = request.args.get('tab', 'hulp')
+    zoek = (request.args.get('zoek') or '').strip()
+    email = email or (request.args.get('email') or '').strip()
+    gebruiker, uitzondering, zoekresultaten, reset_wacht = None, None, [], None
+
+    if zoek and '@' not in zoek:
+        zoekresultaten = service.search_users(zoek)
+        if not zoekresultaten:
+            fout = fout or f"Geen gebruikers gevonden voor '{zoek}'."
+    elif zoek:
+        email = zoek
+
+    if email:
+        try:
+            gebruiker = service.get_user(email)
+            uitzondering = service.active_for(gebruiker['email'])
+            reset_wacht = service.reset_bezig(gebruiker['email'])
+        except TweestapsError as e:
+            fout = fout or str(e)
+
+    try:
+        actief = service.active_exceptions()
+        # Aantal per pagina: uit ?logper=..., anders de vorige keuze (sessie), anders 25
+        per = request.args.get('logper', type=int)
+        if per in LOG_KEUZES:
+            session['tweestaps_logper'] = per
+        per = session.get('tweestaps_logper', LOG_PER_PAGINA)
+        grootte = per or 100000               # 0 = alles
+        log_pagina = max(1, request.args.get('logpagina', 1, type=int) or 1)
+        logboek, log_totaal = service.recent_log(log_pagina, grootte)
+        log_paginas = max(1, -(-log_totaal // grootte))
+        if log_pagina > log_paginas:
+            log_pagina = log_paginas
+            logboek, log_totaal = service.recent_log(log_pagina, grootte)
+    except Exception:
+        actief, logboek, log_totaal, log_pagina, log_paginas, per = [], [], 0, 1, 1, LOG_PER_PAGINA
+
+    lijst, lijst_fout = None, None
+    if tab == 'lijst':
+        try:
+            lijst = service.niet_ingesteld(force=request.args.get('vernieuw') == '1')
+            lijst_fout = service.ou_melding()      # sommige OU's bestaan niet: lijst tonen + waarschuwing
+        except TweestapsError as e:
+            lijst_fout = str(e)
+        except Exception as e:
+            lijst_fout = TweestapsService._friendly(e)
+
+    return render_template('tweestaps.html', tab=tab, zoek=zoek, zoekresultaten=zoekresultaten,
+                           gebruiker=gebruiker, uitzondering=uitzondering, reset_wacht=reset_wacht, codes=codes, code_actie=code_actie,
+                           fout=fout, actief=actief, logboek=logboek, log_totaal=log_totaal, log_pagina=log_pagina, log_per=per, log_keuzes=LOG_KEUZES,
+                           log_paginas=log_paginas, lijst=lijst, lijst_fout=lijst_fout,
+                           einde=service.einde_vandaag(), groep=service.exception_group,
+                           ous=Config.TWEESTAPS_OUS, nu=datetime.now())
+
+
+@tweestaps_bp.route('/', methods=['GET'])
+@login_required
+@recht_vereist('tweestaps_codes', 'tweestaps_uitzetten')
+def overzicht():
+    _ensure_tables()
+    return _render()
+
+
+#---------------------------------------------
+# Back-upcodes
+#---------------------------------------------
+@tweestaps_bp.route('/codes', methods=['POST'])
+@login_required
+@recht_vereist('tweestaps_codes')
+def codes():
+    _ensure_tables()
+    email = request.form.get('email', '')
+    actie = request.form.get('actie', 'tonen')
+    door = session.get('user')
+    try:
+        user = service.get_user(email)
+        if actie == 'ongeldig':
+            service.invalidate_codes(user['email'])
+            service.log(door, 'codes ongeldig gemaakt', user['email'])
+            flash(f"Alle back-upcodes van {user['email']} zijn ongeldig gemaakt.", "success")
+            return redirect(url_for('tweestaps.overzicht', email=user['email']))
+
+        bestaand = [] if actie == 'nieuw' else service.list_codes(user['email'])
+        if bestaand:
+            lijst = bestaand
+            service.log(door, 'code getoond', user['email'])
+        else:
+            lijst = service.generate_codes(user['email'])
+            service.log(door, 'nieuwe codes', user['email'], f"{len(lijst)} codes")
+        return _render(email=user['email'], codes=lijst, code_actie='nieuw' if not bestaand else 'bestaand')
+    except TweestapsError as e:
+        return _render(email=email, fout=str(e))
+
+
+#---------------------------------------------
+# Tijdelijke uitzondering
+#---------------------------------------------
+@tweestaps_bp.route('/uitzondering', methods=['POST'])
+@login_required
+@recht_vereist('tweestaps_uitzetten')
+def uitzondering():
+    _ensure_tables()
+    email = request.form.get('email', '')
+    reden = (request.form.get('reden') or '').strip()
+    eindtijd = service.einde_vandaag()
+    try:
+        user = service.grant_exception(email, eindtijd, session.get('user'), reden)
+        flash(f"{user['email']} kan tot {eindtijd:%H:%M} zonder 2FA inloggen. Daarna zet PIVOT 2FA automatisch "
+              "terug aan. Let op: het kan enkele minuten duren voor Google de uitzondering toepast.", "success")
+    except TweestapsError as e:
+        flash(str(e), "error")
+    return redirect(url_for('tweestaps.overzicht', email=email.strip()))
+
+
+@tweestaps_bp.route('/reset', methods=['POST'])
+@login_required
+@recht_vereist('tweestaps_uitzetten')
+def reset():
+    """2FA resetten voor iemand met een nieuwe of verloren telefoon."""
+    _ensure_tables()
+    email = request.form.get('email', '')
+    eindtijd = service.einde_vandaag()
+    try:
+        user = service.reset_2fa(email, eindtijd, session.get('user'), (request.form.get('reden') or '').strip())
+        if user.get('wacht'):
+            flash(f"{user['email']} staat nu in de uitzonderingsgroep, maar Google past dat pas na enkele minuten toe. "
+                  "PIVOT probeert de 2FA-reset elke minuut opnieuw (tot de uitzondering afloopt om "
+                  f"{eindtijd:%H:%M}). Je hoeft niets meer te doen; vernieuw deze pagina om de status te zien.", "info")
+            return redirect(url_for('tweestaps.overzicht', email=email.strip()))
+        tekst = f"2FA is uitgezet voor {user['email']}. Hij kan nu inloggen en 2FA opnieuw instellen met zijn nieuwe telefoon"
+        if user.get('uitzondering'):
+            tekst += f" (vóór {eindtijd:%H:%M}; daarna is 2FA weer verplicht)"
+        flash(tekst + ". Het kan enkele minuten duren voor Google dit toepast.", "success")
+    except TweestapsError as e:
+        flash(str(e), "error")
+    return redirect(url_for('tweestaps.overzicht', email=email.strip()))
+
+
+@tweestaps_bp.route('/uitzondering/<int:uitz_id>/stop', methods=['POST'])
+@login_required
+@recht_vereist('tweestaps_uitzetten')
+def stop_uitzondering(uitz_id):
+    _ensure_tables()
+    try:
+        email = service.end_exception(uitz_id, session.get('user'))
+        flash(f"2FA is opnieuw verplicht voor {email}.", "success")
+    except TweestapsError as e:
+        flash(str(e), "error")
+    terug = request.form.get('terug')
+    return redirect(url_for('tweestaps.overzicht', email=terug) if terug else url_for('tweestaps.overzicht'))
diff --git a/blueprints/verzendlijsten_bp.py b/blueprints/verzendlijsten_bp.py
new file mode 100644
index 0000000..68c3826
--- /dev/null
+++ b/blueprints/verzendlijsten_bp.py
@@ -0,0 +1,124 @@
+"""Google › Verzendlijsten: Google Groepen van de school bekijken, aanmaken en aanpassen (leden en rollen)."""
+from flask import Blueprint, render_template, request, flash, redirect, url_for, session
+
+from blueprints.auth import login_required
+from rechten import recht_vereist, log
+from services.verzendlijsten_service import (VerzendlijstenService, VerzendlijstFout, ROLLEN, WIE_MAILT, adressen)
+from tenancy import huidige_school
+
+verzendlijsten_bp = Blueprint('verzendlijsten', __name__)
+
+
+@verzendlijsten_bp.route("/", methods=["GET"])
+@login_required
+@recht_vereist('verzendlijsten')
+def overzicht():
+    lijsten, fout = [], None
+    try:
+        lijsten = VerzendlijstenService().alle()
+    except Exception as e:
+        fout = str(e)
+    return render_template("verzendlijsten.html", lijsten=lijsten, fout=fout,
+                           domeinen=huidige_school().domeinen, wie_mailt=WIE_MAILT)
+
+
+@verzendlijsten_bp.route("/nieuw", methods=["POST"])
+@login_required
+@recht_vereist('verzendlijsten')
+def nieuw():
+    deel = (request.form.get('adres') or '').strip().lower()
+    domein = (request.form.get('domein') or '').strip().lower()
+    email = deel if '@' in deel else f"{deel}@{domein}"
+    svc = VerzendlijstenService()
+    try:
+        svc.aanmaken(email, request.form.get('naam'), request.form.get('beschrijving'))
+    except VerzendlijstFout as e:
+        flash(str(e), "error")
+        return redirect(url_for('verzendlijsten.overzicht'))
+    log(f"Verzendlijst aangemaakt: {email}")
+    melding = f"Verzendlijst {email} aangemaakt."
+    wie = request.form.get('wie_mailt')
+    if wie:
+        try:
+            svc.zet_wie_mailt(email, wie)
+        except VerzendlijstFout as e:
+            melding += f" 'Wie mag mailen' kon niet ingesteld worden: {e}"
+    flash(melding + " Google kan er een minuutje over doen voor ze overal zichtbaar is.", "success")
+    return redirect(url_for('verzendlijsten.detail', email=email))
+
+
+@verzendlijsten_bp.route("/<email>", methods=["GET"])
+@login_required
+@recht_vereist('verzendlijsten')
+def detail(email):
+    svc = VerzendlijstenService()
+    try:
+        groep = svc.groep(email)
+        leden = svc.leden(email)
+    except VerzendlijstFout as e:
+        flash(str(e), "error")
+        return redirect(url_for('verzendlijsten.overzicht'))
+    return render_template("verzendlijst.html", groep=groep, leden=leden, rollen=ROLLEN,
+                           wie_mailt=WIE_MAILT, huidig_wie=svc.wie_mailt(email))
+
+
+@verzendlijsten_bp.route("/<email>/bewerken", methods=["POST"])
+@login_required
+@recht_vereist('verzendlijsten')
+def bewerken(email):
+    svc = VerzendlijstenService()
+    try:
+        svc.bijwerken(email, request.form.get('naam'), request.form.get('beschrijving'))
+        if request.form.get('wie_mailt'):
+            svc.zet_wie_mailt(email, request.form.get('wie_mailt'))
+        log(f"Verzendlijst aangepast: {email}")
+        flash("Verzendlijst bijgewerkt.", "success")
+    except VerzendlijstFout as e:
+        flash(str(e), "error")
+    return redirect(url_for('verzendlijsten.detail', email=email))
+
+
+@verzendlijsten_bp.route("/<email>/leden/toevoegen", methods=["POST"])
+@login_required
+@recht_vereist('verzendlijsten')
+def leden_toevoegen(email):
+    goed, ongeldig = adressen(request.form.get('adressen'))
+    if ongeldig:
+        flash("Geen geldig e-mailadres, overgeslagen: " + ", ".join(ongeldig), "warning")
+    if goed:
+        gelukt, fouten = VerzendlijstenService().leden_toevoegen(email, goed, request.form.get('rol') or 'MEMBER')
+        if gelukt:
+            log(f"Verzendlijst {email}: {gelukt} lid/leden toegevoegd")
+            flash(f"{gelukt} lid/leden toegevoegd.", "success")
+        for adres, fout in fouten:
+            flash(f"{adres}: {fout}", "error")
+    elif not ongeldig:
+        flash("Vul minstens één e-mailadres in.", "error")
+    return redirect(url_for('verzendlijsten.detail', email=email))
+
+
+@verzendlijsten_bp.route("/<email>/leden/rol", methods=["POST"])
+@login_required
+@recht_vereist('verzendlijsten')
+def lid_rol(email):
+    lid = request.form.get('lid') or ''
+    try:
+        VerzendlijstenService().lid_rol(email, lid, request.form.get('rol'))
+        flash(f"Rol van {lid} aangepast.", "success")
+    except VerzendlijstFout as e:
+        flash(str(e), "error")
+    return redirect(url_for('verzendlijsten.detail', email=email))
+
+
+@verzendlijsten_bp.route("/<email>/leden/verwijderen", methods=["POST"])
+@login_required
+@recht_vereist('verzendlijsten')
+def lid_verwijderen(email):
+    lid = request.form.get('lid') or ''
+    try:
+        VerzendlijstenService().lid_verwijderen(email, lid)
+        log(f"Verzendlijst {email}: {lid} verwijderd")
+        flash(f"{lid} uit de verzendlijst gehaald.", "success")
+    except VerzendlijstFout as e:
+        flash(str(e), "error")
+    return redirect(url_for('verzendlijsten.detail', email=email))
diff --git a/compose.yaml b/compose.yaml
new file mode 100644
index 0000000..fabf3de
--- /dev/null
+++ b/compose.yaml
@@ -0,0 +1,27 @@
+# PIVOT – één container voor alle scholen.
+#
+# Vóór de eerste start:
+#   1. config.ini invullen (database-server, superbeheerders, gedeelde Google-login)
+#   2. .env aanmaken naast dit bestand met minstens:
+#        PIVOT_DB_PASSWORD=...
+#        PIVOT_SLEUTEL=...        (python beheer.py nieuwe-sleutel)  ← BACK-UP NEMEN
+#        FLASK_SECRET_KEY=...     (willekeurige lange tekst)
+#   3. docker compose up -d --build
+#   4. bestaande school overzetten:
+#        docker compose exec server python beheer.py importeer-config /app/import/config.ini \
+#             --google-sleutel /app/import/kamxm_api_key.json
+services:
+  server:
+    build:
+      context: .
+    ports:
+      - 5001:5001
+    env_file:
+      - .env
+    environment:
+      - PIVOT_GEHEIMEN=/app/geheimen
+    volumes:
+      - ./config.ini:/app/config.ini:ro
+      - ./geheimen:/app/geheimen
+      - ./import:/app/import:ro
+    restart: unless-stopped
diff --git a/config.ini b/config.ini
new file mode 100644
index 0000000..ab345e5
--- /dev/null
+++ b/config.ini
@@ -0,0 +1,42 @@
+# =====================================================================
+# PIVOT – algemene instellingen (gelden voor ALLE scholen)
+#
+# Alles wat per school verschilt (Smartschool, Informat, Google, Signpost,
+# CO2, personeel, database van de school, ...) staat NIET meer hier, maar
+# in het scholenregister: in PIVOT via 🏫 Scholen (superbeheerder) of
+# 🔌 Koppelingen van deze school (beheerder van een school).
+#
+# Geheimen kan je ook als omgevingsvariabele meegeven i.p.v. hier:
+#   PIVOT_DB_PASSWORD, PIVOT_SSO_CLIENT_SECRET, FLASK_SECRET_KEY, PIVOT_SLEUTEL
+# =====================================================================
+
+[database]
+# Server en standaardlogin: voor de centrale database én voor elke schooldatabase
+# (per school te overschrijven in het scholenregister)
+host = localhost
+port = 3306
+user = marijn	
+password =Binnenin10!
+# Database met de lijst van scholen (wordt automatisch ingericht)
+centrale_database = pivot
+
+[google_sso]
+# Gedeelde 'Inloggen met Google' voor alle scholen (OAuth-client van het type
+# 'Webtoepassing', toestemmingsscherm 'Extern'). Leeg laten als elke school een
+# eigen client gebruikt (in te stellen per school).
+# Toegestane redirect-URI: https://<jouw-pivot-adres>/callback
+client_id =
+client_secret =
+
+[algemeen]
+app_version = 1.1.0
+# Superbeheerders van de scholengroep (Google-accounts, komma-gescheiden):
+# mogen scholen toevoegen/wijzigen en tussen scholen wisselen.
+superbeheerders = ict@kamerksem.be
+# Geheime sleutel voor sessies (liever via FLASK_SECRET_KEY)
+secret_key =
+debug = nee
+# Elke bezochte pagina bewaren in de tabel Logs (ja/nee)
+logboek = ja
+# Aantal reverse proxies vóór PIVOT (nginx, IIS, firewall met https). 0 = PIVOT staat rechtstreeks op het net.
+proxy_aantal = 0
diff --git a/config.py b/config.py
new file mode 100644
index 0000000..8c8fb05
--- /dev/null
+++ b/config.py
@@ -0,0 +1,107 @@
+"""
+Instellingen.
+
+config.ini bevat enkel nog wat voor ALLE scholen geldt (database-server, centrale
+database, gedeelde Google-login, superbeheerders). Alles wat per school verschilt
+staat in de centrale database (zie tenancy.py) en wordt beheerd via /scholen.
+
+`Config.SS_API_PW`, `Config.SCHOOL_DOMAIN`, ... geven de waarde van de school
+waarvoor de huidige request (of achtergrondtaak) loopt.
+
+Geheimen kunnen ook via omgevingsvariabelen gezet worden (handig voor Docker):
+  PIVOT_DB_PASSWORD, FLASK_SECRET_KEY, PIVOT_SLEUTEL, PIVOT_SSO_CLIENT_SECRET
+"""
+import os
+import configparser
+
+base_dir = os.path.dirname(os.path.abspath(__file__))
+config_path = os.environ.get('PIVOT_CONFIG', os.path.join(base_dir, 'config.ini'))
+
+config_file = configparser.ConfigParser()
+config_file.read(config_path, encoding='utf-8')
+
+
+def _get(section, key, fallback='', env=None):
+    if env and os.environ.get(env):
+        return os.environ[env]
+    return config_file.get(section, key, fallback=fallback)
+
+
+def _secret_key():
+    """FLASK_SECRET_KEY, config.ini, of anders een willekeurige sleutel die bewaard wordt in geheimen/flask.key.
+    (Nooit een vaste standaardsleutel: daarmee kan iemand een sessie voor eender welke school vervalsen.)"""
+    sleutel = os.environ.get("FLASK_SECRET_KEY") or _get('algemeen', 'secret_key')
+    if sleutel:
+        return sleutel
+    import secrets
+    pad = os.path.join(os.environ.get('PIVOT_GEHEIMEN', os.path.join(base_dir, 'geheimen')), 'flask.key')
+    if os.path.exists(pad):
+        with open(pad) as f:
+            return f.read().strip()
+    os.makedirs(os.path.dirname(pad), exist_ok=True)
+    sleutel = secrets.token_hex(32)
+    with open(pad, 'w') as f:
+        f.write(sleutel)
+    return sleutel
+
+
+class _SchoolConfigMeta(type):
+    """Onbekende attributen op de klasse → instelling van de huidige school."""
+    def __getattr__(cls, naam):
+        if naam.startswith('__'):
+            raise AttributeError(naam)
+        if naam == 'GOOGLE_API_LOCATION':
+            raise AttributeError("GOOGLE_API_LOCATION bestaat niet meer: gebruik tenancy.google_credentials()")
+        from tenancy import huidige_school, VELD, AFGELEID
+        if naam not in VELD and naam not in AFGELEID:
+            raise AttributeError(naam)
+        return huidige_school().get(naam)
+
+
+class Config(metaclass=_SchoolConfigMeta):
+    """Algemene instellingen (klasse-attributen) + per-school instellingen (via de metaclass)."""
+
+    # Flask
+    SECRET_KEY = _secret_key()
+    DEBUG = _get('algemeen', 'debug', 'nee').strip().lower() in ('ja', 'yes', 'true', '1', 'on')
+    SESSION_COOKIE_PATH = '/'
+    SESSION_PERMANENT = True
+
+    # Database-server: standaard voor alle schooldatabases + de centrale database
+    DB_HOST = _get('database', 'host', 'localhost', env='PIVOT_DB_HOST')
+    DB_PORT = int(_get('database', 'port', '3306', env='PIVOT_DB_PORT'))
+    DB_USER = _get('database', 'user', '', env='PIVOT_DB_USER')
+    DB_PASSWORD = _get('database', 'password', '', env='PIVOT_DB_PASSWORD')
+    DB_CENTRAAL = _get('database', 'centrale_database', 'pivot_centraal', env='PIVOT_DB_CENTRAAL')
+    # Verbindingen per database in de pool. Elke pool opent die meteen allemaal: aantal scholen x pool_size
+    # (+ centraal) moet onder max_connections van MySQL blijven (standaard 151).
+    DB_POOL_SIZE = max(1, min(32, int(_get('database', 'pool_size', '3', env='PIVOT_DB_POOL_SIZE') or 3)))
+
+    # Gedeelde Google-login (één OAuth-client voor alle scholen; per school te overschrijven)
+    SSO_CLIENT_ID = _get('google_sso', 'client_id', env='PIVOT_SSO_CLIENT_ID')
+    SSO_CLIENT_SECRET = _get('google_sso', 'client_secret', env='PIVOT_SSO_CLIENT_SECRET')
+
+    # Superbeheerders: mogen scholen beheren en tussen scholen wisselen (Google-login)
+    SUPERBEHEERDERS = [x.strip().lower() for x in
+                       _get('algemeen', 'superbeheerders', env='PIVOT_SUPERBEHEERDERS').replace(';', ',').split(',')
+                       if x.strip()]
+
+    APP_VERSION = _get('algemeen', 'app_version', '1.1.0')
+
+    # Elke bezochte pagina bewaren in de tabel Logs (centrale database)
+    LOGBOEK = _get('algemeen', 'logboek', 'ja').strip().lower() in ('ja', 'yes', 'true', '1', 'on')
+    # Aantal reverse proxies (nginx, IIS, firewall met https, ...) vóór PIVOT. 0 = PIVOT staat rechtstreeks op het net.
+    # Nodig om het echte IP-adres van de bezoeker te kennen (IP-blokkades, logboek, inlogbeveiliging).
+    try:
+        PROXY_AANTAL = max(0, int(_get('algemeen', 'proxy_aantal', '0') or 0))
+    except ValueError:
+        PROXY_AANTAL = 0
+
+    def __getattr__(self, naam):
+        # Config().SS_API_PW werkt ook (zoals in de bestaande services)
+        return getattr(type(self), naam)
+
+    @property
+    def DB_CONFIG(self):
+        from tenancy import huidige_school
+        return huidige_school().db_config()
diff --git a/database.py b/database.py
new file mode 100644
index 0000000..c600afa
--- /dev/null
+++ b/database.py
@@ -0,0 +1,106 @@
+"""
+Databaseverbindingen.
+
+- execute_query / get_db_connection → de database van de HUIDIGE school
+- central_query / get_central_connection → de centrale database (Scholen, Gebruikers, rechten, Logs, Bugs)
+
+Per database wordt lui een connection pool aangemaakt.
+"""
+import threading
+
+import mysql.connector
+from mysql.connector import pooling
+
+from config import Config
+
+_pools = {}
+_lock = threading.Lock()
+POOL_SIZE = Config.DB_POOL_SIZE          # config.ini › [database] › pool_size (standaard 3)
+
+
+def _pool(host, user, password, database, port=None):
+    key = (host, port or Config.DB_PORT, user, database)
+    pool = _pools.get(key)
+    if pool is None:
+        with _lock:
+            pool = _pools.get(key)
+            if pool is None:
+                naam = f"p{len(_pools)}_{database}"[:60]
+                pool = pooling.MySQLConnectionPool(
+                    pool_name=naam, pool_size=POOL_SIZE,
+                    host=host, port=port or Config.DB_PORT, user=user, password=password, database=database,
+                    connection_timeout=10,
+                    # zelfde collatie als de tabellen (sql/*.sql); anders geeft MySQL 8 bij vergelijkingen
+                    # "Illegal mix of collations (utf8mb4_0900_ai_ci / utf8mb4_unicode_ci)"
+                    charset='utf8mb4', collation='utf8mb4_unicode_ci',
+                    # autocommit: elke query ziet meteen de laatste gegevens (ook na wijzigingen via een
+                    # andere verbinding uit de pool). Wie meerdere statements samen wil, gebruikt
+                    # conn.start_transaction() ... conn.commit().
+                    autocommit=True)
+                _pools[key] = pool
+    return pool
+
+
+def vergeet_pools(database=None):
+    """Na het wijzigen van de DB-gegevens van een school: pools opnieuw laten opbouwen."""
+    with _lock:
+        for k in [k for k in _pools if database is None or k[3] == database]:
+            _pools.pop(k, None)
+
+
+def get_db_connection():
+    """Verbinding met de database van de huidige school."""
+    from tenancy import huidige_school
+    cfg = huidige_school().db_config()
+    return _pool(cfg['host'], cfg['user'], cfg['password'], cfg['database']).get_connection()
+
+
+def get_central_connection():
+    return _pool(Config.DB_HOST, Config.DB_USER, Config.DB_PASSWORD, Config.DB_CENTRAAL).get_connection()
+
+
+def _run(conn, query, params, commit):
+    cursor = conn.cursor(dictionary=True)
+    try:
+        cursor.execute(query, params)
+        if commit:
+            conn.commit()
+            return cursor.rowcount
+        return cursor.fetchall()
+    finally:
+        cursor.close()
+        conn.close()   # terug naar de pool
+
+
+def execute_query(query, params=(), commit=False):
+    return _run(get_db_connection(), query, params, commit)
+
+
+def execute_insert(query, params=()):
+    """INSERT in de database van de huidige school; geeft het nieuwe AUTO_INCREMENT-id terug."""
+    conn = get_db_connection()
+    cursor = conn.cursor()
+    try:
+        cursor.execute(query, params)
+        conn.commit()
+        return cursor.lastrowid
+    finally:
+        cursor.close()
+        conn.close()
+
+
+def central_query(query, params=(), commit=False):
+    return _run(get_central_connection(), query, params, commit)
+
+
+def central_insert(query, params=()):
+    """INSERT in de centrale database; geeft het nieuwe AUTO_INCREMENT-id terug."""
+    conn = get_central_connection()
+    cursor = conn.cursor()
+    try:
+        cursor.execute(query, params)
+        conn.commit()
+        return cursor.lastrowid
+    finally:
+        cursor.close()
+        conn.close()
diff --git a/geheimen/flask.key b/geheimen/flask.key
new file mode 100644
index 0000000..5767c82
--- /dev/null
+++ b/geheimen/flask.key
@@ -0,0 +1 @@
+100c148b256ee08843e482847b4a5d1f86797b380957c476ce6a29f1de2dd7cb
\ No newline at end of file
diff --git a/rechten.py b/rechten.py
new file mode 100644
index 0000000..5ce12c0
--- /dev/null
+++ b/rechten.py
@@ -0,0 +1,474 @@
+"""
+Rechtensysteem: wie mag wat, in welke school.
+
+Gebruikers staan in de CENTRALE database (één account voor alle scholen).
+Per gebruiker wordt per school bijgehouden op welke onderdelen hij rechten heeft:
+
+    Gebruiker_rechten (Gebruiker_ID, School_ID, Onderdeel_ID)
+
+Zo kan iemand in school A '2FA tijdelijk uitzetten' mogen en in school B niet.
+
+Veiligheidsgroepen:
+    1 = Administrator : alle rechten in alle scholen, beheert gebruikers, rechten en scholen
+    2 = Gebruiker     : enkel de rechten die per school zijn aangevinkt
+    5 = Leerkracht    : (geen account) personeelslid dat met Google inlogt → enkel de personeelsmodule
+
+Gebruik in de code:
+    @recht_vereist('herstellingen')                 # route
+    if heeft_recht('tweestaps_uitzetten'): ...      # in Python
+    {% if mag('co2') %} ... {% endif %}              # in templates
+"""
+import functools
+import sys
+from collections import OrderedDict
+
+from flask import session, g, flash, redirect, url_for, request, has_request_context
+
+ADMIN = 1
+GEBRUIKER = 2
+
+VEILIGHEIDSGROEPEN = OrderedDict([
+    (ADMIN, 'Administrator'),
+    (GEBRUIKER, 'Gebruiker'),
+])
+
+# (code, naam, categorie). De volgorde hier is de volgorde op het scherm.
+# Nieuwe onderdelen worden bij het opstarten automatisch in de tabel Onderdelen gezet.
+ONDERDELEN = [
+    # --- Chromebooks ---
+    ('eigendom_bekijken',        'Eigendom bekijken',                               'Chromebooks'),
+    ('toestellen_uitdelen',      'Toestellen uitdelen en inleveren',                'Chromebooks'),
+    ('toestellen_beheren',       'Toestelleninventaris beheren',                    'Chromebooks'),
+    ('toestel_blokkeren',        'Chromebook blokkeren / deblokkeren',              'Chromebooks'),
+    ('herstellingen',            'Herstellingen',                                   'Chromebooks'),
+    ('signpost',                 'Signpost-toestellen',                             'Chromebooks'),
+    # --- Leerlingen ---
+    ('leerlingen_bekijken',      'Leerlingen bekijken en bewerken',                 'Leerlingen'),
+    ('leerlingen_synchroniseren', 'Leerlingen toevoegen en synchroniseren',         'Leerlingen'),
+    ('leerlingenaantal',         'Leerlingenaantallen (alle scholen)',              'Leerlingen'),
+    # --- Basisonderwijs (blok enkel zichtbaar bij een basisschool) ---
+    ('bingel',                   'Bingel: leerlingenlijst (Excel)',                 'Basisonderwijs'),
+    # --- Internaat ---
+    ('internen',                 'Internaat: internen bekijken',                    'Internaat'),
+    ('internaat_aanwezigheid',   'Internaat: aanwezigheden registreren',           'Internaat'),
+    # --- Leerlingfacturatie ---
+    ('leerlingfacturatie',       'Leerlingfacturatie: facturen bekijken',           'Leerlingfacturatie'),
+    # --- Google ---
+    ('google_wachtwoord',        'Google-wachtwoord resetten',                      'Google'),
+    ('google_accounts',          'Google-accounts aanmaken',                        'Google'),
+    ('tweestaps_codes',          '2FA: back-upcodes tonen / aanmaken',              'Google'),
+    ('tweestaps_uitzetten',      '2FA tijdelijk uitzetten (uitzondering)',          'Google'),
+    ('google_licenties',         'Google-licenties',                                'Google'),
+    ('gmail_delegatie',          'Mailbox-delegatie',                               'Google'),
+    ('verzendlijsten',           'Verzendlijsten (Google Groepen) beheren',         'Google'),
+    ('gmail_labels',             'E-mails met een label naar een andere mailbox',   'Google'),
+    ('gmail_handtekeningen',     'Gmail-handtekeningen instellen (functie/telefoon)', 'Google'),
+    ('gedeelde_drives',          'Gedeelde drives: leden en rechten beheren',       'Google'),
+    ('gmail_contacten',          'Contacten: contactlijsten in mailboxen, adresboek', 'Google'),
+    # --- Smartschool ---
+    ('smartschool',              'Smartschool-wachtwoorden & info',                 'Smartschool'),
+    ('smartschool_activiteit',   'Activiteit co-accounts & berichten',              'Smartschool'),
+    ('afwezigheden',             'Afwezigheden leerlingen (B-codes)',               'Smartschool'),
+    ('laatkomers',               'Laatkomers',                                      'Smartschool'),
+    ('skore',                    'Skore-synchronisatie (starten en plannen)',       'Smartschool'),
+    ('sgr_groepen',              'SGR groepen: subgroepen en leden bekijken',       'Smartschool'),
+    # --- Personeel ---
+    ('personeel_directie',       'Personeel: aanvragen goedkeuren (directie)',      'Personeel'),
+    ('personeel_secretariaat',   'Personeel: dagoverzicht (secretariaat)',          'Personeel'),
+    ('gopro',                    'GO! Pro: personeel en rollen',                    'Personeel'),
+    ('personeelsaantal',         'Personeelsaantallen (alle scholen)',              'Personeel'),
+    # --- Tools ---
+    ('qr_codes',                 'QR-code generator',                               'Tools'),
+    # --- IoT ---
+    ('co2',                      'CO2-sensoren',                                    'IoT'),
+    # --- Scholengroep ---
+    # --- Beheer ---
+    ('bugs_bekijken',            'Bugs bekijken',                                   'Beheer'),
+    ('bugs_beheren',             'Status van bugs wijzigen',                        'Beheer'),
+    ('nieuw_schooljaar',         'Nieuw schooljaar (accounts & toestellen)',        'Beheer'),
+    ('ip_whitelist',             'IP-adressen toestaan voor deze school',           'Beheer'),
+    # --- PIVOT ---
+    ('gebruikersbeheer',         'Gebruikers & rechten van deze school',            'PIVOT'),
+    ('koppelingen',              'Koppelingen van deze school',                     'PIVOT'),
+]
+CODES = [o[0] for o in ONDERDELEN]
+
+
+# =====================================================================
+# Tabellen (centrale database)
+# =====================================================================
+SCHEMA = [
+    """CREATE TABLE IF NOT EXISTS Veiligheidsgroepen (
+        Veiligheidsgroep TINYINT      NOT NULL PRIMARY KEY,
+        Naam             VARCHAR(50)  NOT NULL,
+        Omschrijving     VARCHAR(255) NULL
+    ) ENGINE=InnoDB""",
+    """CREATE TABLE IF NOT EXISTS Gebruikers (
+        Gebruiker_ID     INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+        Gebruikersnaam   VARCHAR(100) NOT NULL,
+        Veiligheidsgroep TINYINT      NOT NULL DEFAULT 2,
+        Passwoordhash    VARCHAR(255) NULL,
+        Emailadres       VARCHAR(255) NULL,
+        Last_login       DATETIME     NULL,
+        IP_laatste_login VARCHAR(45)  NULL,
+        Laatste_school   VARCHAR(32)  NULL,
+        Actief           TINYINT      NOT NULL DEFAULT 1,
+        UNIQUE KEY uq_gebruikersnaam (Gebruikersnaam),
+        UNIQUE KEY uq_emailadres (Emailadres),
+        CONSTRAINT fk_gebruikers_groep FOREIGN KEY (Veiligheidsgroep)
+            REFERENCES Veiligheidsgroepen (Veiligheidsgroep)
+    ) ENGINE=InnoDB""",
+    """CREATE TABLE IF NOT EXISTS Onderdelen (
+        Onderdeel_ID INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+        Code         VARCHAR(50)  NOT NULL,
+        Naam         VARCHAR(255) NOT NULL,
+        Categorie    VARCHAR(50)  NOT NULL,
+        Volgorde     INT          NOT NULL DEFAULT 0,
+        UNIQUE KEY uq_onderdeel_code (Code)
+    ) ENGINE=InnoDB""",
+    """CREATE TABLE IF NOT EXISTS Gebruiker_rechten (
+        Gebruiker_ID   INT          NOT NULL,
+        School_ID      INT          NOT NULL,
+        Onderdeel_ID   INT          NOT NULL,
+        Toegekend_op   DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+        Toegekend_door VARCHAR(100) NULL,
+        PRIMARY KEY (Gebruiker_ID, School_ID, Onderdeel_ID),
+        KEY idx_rechten_school (School_ID),
+        KEY idx_rechten_onderdeel (Onderdeel_ID),
+        CONSTRAINT fk_rechten_gebruiker FOREIGN KEY (Gebruiker_ID)
+            REFERENCES Gebruikers (Gebruiker_ID) ON DELETE CASCADE,
+        CONSTRAINT fk_rechten_school FOREIGN KEY (School_ID)
+            REFERENCES Scholen (School_ID) ON DELETE CASCADE,
+        CONSTRAINT fk_rechten_onderdeel FOREIGN KEY (Onderdeel_ID)
+            REFERENCES Onderdelen (Onderdeel_ID) ON DELETE CASCADE
+    ) ENGINE=InnoDB""",
+    """CREATE TABLE IF NOT EXISTS Handleidingen (
+        Handleiding_ID INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+        Slug           VARCHAR(100) NOT NULL,
+        Titel          VARCHAR(200) NOT NULL,
+        Categorie      VARCHAR(100) NULL,
+        Samenvatting   VARCHAR(300) NULL,
+        Inhoud         MEDIUMTEXT   NULL,
+        Zichtbaar      VARCHAR(10)  NOT NULL DEFAULT 'iedereen',
+        Volgorde       INT          NOT NULL DEFAULT 0,
+        Gewijzigd_op   DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+        Gewijzigd_door VARCHAR(100) NULL,
+        UNIQUE KEY uq_handleiding_slug (Slug)
+    ) ENGINE=InnoDB""",
+    """CREATE TABLE IF NOT EXISTS Handleidingen_versies (
+        Versie_ID      INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+        Handleiding_ID INT          NOT NULL,
+        Titel          VARCHAR(200) NOT NULL,
+        Inhoud         MEDIUMTEXT   NULL,
+        Opgeslagen_op  DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+        Door           VARCHAR(100) NULL,
+        KEY idx_versie_handleiding (Handleiding_ID, Opgeslagen_op),
+        CONSTRAINT fk_versie_handleiding FOREIGN KEY (Handleiding_ID)
+            REFERENCES Handleidingen (Handleiding_ID) ON DELETE CASCADE
+    ) ENGINE=InnoDB""",
+    """CREATE TABLE IF NOT EXISTS Leerlingenaantal_tellingen (
+        Telling_ID    INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+        School_ID     INT          NOT NULL,
+        Peildatum     DATE         NOT NULL,
+        Schooljaar    VARCHAR(10)  NOT NULL,
+        Aantal        INT          NOT NULL,
+        Detail        TEXT         NULL,
+        Opgevraagd_op DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+        Door          VARCHAR(100) NULL,
+        UNIQUE KEY uq_telling (School_ID, Peildatum),
+        KEY idx_telling_datum (Peildatum),
+        CONSTRAINT fk_telling_school FOREIGN KEY (School_ID)
+            REFERENCES Scholen (School_ID) ON DELETE CASCADE
+    ) ENGINE=InnoDB""",
+    """CREATE TABLE IF NOT EXISTS Personeelsaantal_tellingen (
+        Telling_ID    INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+        School_ID     INT          NOT NULL,
+        Peildatum     DATE         NOT NULL,
+        Schooljaar    VARCHAR(10)  NOT NULL,
+        Aantal        INT          NOT NULL,
+        Detail        TEXT         NULL,
+        Opgevraagd_op DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+        Door          VARCHAR(100) NULL,
+        UNIQUE KEY uq_ptelling (School_ID, Peildatum),
+        KEY idx_ptelling_datum (Peildatum),
+        CONSTRAINT fk_ptelling_school FOREIGN KEY (School_ID)
+            REFERENCES Scholen (School_ID) ON DELETE CASCADE
+    ) ENGINE=InnoDB""",
+    """CREATE TABLE IF NOT EXISTS Personeelsaantal_huidig (
+        School_ID     INT          NOT NULL PRIMARY KEY,
+        Aantal        INT          NOT NULL,
+        Detail        TEXT         NULL,
+        Gesynchroniseerd DATETIME  NOT NULL,
+        CONSTRAINT fk_phuidig_school FOREIGN KEY (School_ID)
+            REFERENCES Scholen (School_ID) ON DELETE CASCADE
+    ) ENGINE=InnoDB""",
+    """CREATE TABLE IF NOT EXISTS PIVOT_instellingen (
+        Sleutel     VARCHAR(50)  NOT NULL PRIMARY KEY,
+        Waarde      VARCHAR(255) NULL,
+        Bijgewerkt  DATETIME     NULL,
+        Door        VARCHAR(100) NULL
+    ) ENGINE=InnoDB""",
+    """CREATE TABLE IF NOT EXISTS IP_blokkades (
+        ID               INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+        Reeks            VARCHAR(64)  NOT NULL,
+        Soort            VARCHAR(10)  NOT NULL DEFAULT 'blokkeren',
+        Opmerking        VARCHAR(255) NULL,
+        Scholen          VARCHAR(1000) NULL,
+        Aangemaakt       DATETIME     NOT NULL,
+        Door             VARCHAR(100) NULL,
+        Gebruiker_ID     INT          NULL,
+        Aantal_geweigerd INT          NOT NULL DEFAULT 0,
+        Laatst_geweigerd DATETIME     NULL,
+        UNIQUE KEY uq_ip_reeks (Reeks, Soort)
+    ) ENGINE=InnoDB""",
+    """CREATE TABLE IF NOT EXISTS Koppeling_tests (
+        School_ID   INT          NOT NULL,
+        Onderdeel   VARCHAR(50)  NOT NULL,
+        Ok          TINYINT      NULL,
+        Detail      VARCHAR(500) NULL,
+        Getest_op   DATETIME     NOT NULL,
+        PRIMARY KEY (School_ID, Onderdeel),
+        CONSTRAINT fk_ktest_school FOREIGN KEY (School_ID) REFERENCES Scholen (School_ID) ON DELETE CASCADE
+    ) ENGINE=InnoDB""",
+    """CREATE TABLE IF NOT EXISTS Logs (
+        Log_ID       BIGINT        NOT NULL AUTO_INCREMENT PRIMARY KEY,
+        Timestamp    DATETIME      NOT NULL DEFAULT CURRENT_TIMESTAMP,
+        Bezochte_url VARCHAR(2048) NOT NULL,
+        Gebruiker_ID INT           NULL,
+        School_ID    INT           NULL,
+        Actie        VARCHAR(255)  NULL,
+        IP           VARCHAR(45)   NULL,
+        KEY idx_logs_tijd (Timestamp),
+        KEY idx_logs_gebruiker (Gebruiker_ID),
+        CONSTRAINT fk_logs_gebruiker FOREIGN KEY (Gebruiker_ID)
+            REFERENCES Gebruikers (Gebruiker_ID) ON DELETE SET NULL,
+        CONSTRAINT fk_logs_school FOREIGN KEY (School_ID)
+            REFERENCES Scholen (School_ID) ON DELETE SET NULL
+    ) ENGINE=InnoDB""",
+    """CREATE TABLE IF NOT EXISTS Status (
+        Bugstatus_ID TINYINT     NOT NULL PRIMARY KEY,
+        Omschrijving VARCHAR(50) NOT NULL,
+        UNIQUE KEY uq_status_omschrijving (Omschrijving)
+    ) ENGINE=InnoDB""",
+    """CREATE TABLE IF NOT EXISTS Bugs (
+        Bug_ID         INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+        Timestamp      DATETIME     NOT NULL,
+        Omschrijving   TEXT         NOT NULL,
+        Foutcode       VARCHAR(100) NULL,
+        Bugstatus_ID   TINYINT      NOT NULL DEFAULT 1,
+        Gebruiker_ID   INT          NULL,
+        Gebruikersnaam VARCHAR(255) NULL,
+        School_ID      INT          NULL,
+        Gemeld_op      DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+        KEY idx_bugs_status (Bugstatus_ID),
+        CONSTRAINT fk_bugs_status FOREIGN KEY (Bugstatus_ID) REFERENCES Status (Bugstatus_ID),
+        CONSTRAINT fk_bugs_gebruiker FOREIGN KEY (Gebruiker_ID)
+            REFERENCES Gebruikers (Gebruiker_ID) ON DELETE SET NULL,
+        CONSTRAINT fk_bugs_school FOREIGN KEY (School_ID)
+            REFERENCES Scholen (School_ID) ON DELETE SET NULL
+    ) ENGINE=InnoDB""",
+]
+
+BUGSTATUS = [(1, 'Nieuw'), (2, 'In behandeling'), (3, 'Fixed')]
+
+
+def ensure_schema():
+    """Maakt de tabellen aan en zet de vaste lijsten (groepen, onderdelen, bugstatussen) goed."""
+    from database import central_query
+    for sql in SCHEMA:
+        central_query(sql, commit=True)
+    # Bestaande tabel Gebruikers van vóór "laatst actieve school" (het aanmeldscherm vraagt geen school meer)
+    if 'laatste_school' not in {r['Field'].lower() for r in central_query("SHOW COLUMNS FROM Gebruikers") or []}:
+        central_query("ALTER TABLE Gebruikers ADD COLUMN Laatste_school VARCHAR(32) NULL AFTER IP_laatste_login", commit=True)
+    for nr, naam in VEILIGHEIDSGROEPEN.items():
+        central_query("INSERT INTO Veiligheidsgroepen (Veiligheidsgroep, Naam) VALUES (%s, %s) "
+                      "ON DUPLICATE KEY UPDATE Naam = VALUES(Naam)", (nr, naam), commit=True)
+    for i, (code, naam, cat) in enumerate(ONDERDELEN, start=1):
+        central_query("INSERT INTO Onderdelen (Code, Naam, Categorie, Volgorde) VALUES (%s, %s, %s, %s) "
+                      "ON DUPLICATE KEY UPDATE Naam = VALUES(Naam), Categorie = VALUES(Categorie), "
+                      "Volgorde = VALUES(Volgorde)", (code, naam, cat, i * 10), commit=True)
+    for nr, oms in BUGSTATUS:
+        central_query("INSERT INTO Status (Bugstatus_ID, Omschrijving) VALUES (%s, %s) "
+                      "ON DUPLICATE KEY UPDATE Omschrijving = VALUES(Omschrijving)", (nr, oms), commit=True)
+    # Standaardhandleidingen die nog niet bestaan (daarna beheer je ze in PIVOT; verwijderen = verbergen)
+    from services.handleidingen_standaard import STANDAARD
+    bestaand = {r['Slug'] for r in central_query("SELECT Slug FROM Handleidingen")}
+    for i, h in enumerate(STANDAARD, start=1):
+        if h['slug'] not in bestaand:
+            central_query("INSERT IGNORE INTO Handleidingen (Slug, Titel, Categorie, Samenvatting, Inhoud, Volgorde, "
+                          "Gewijzigd_door) VALUES (%s, %s, %s, %s, %s, %s, 'PIVOT')",
+                          (h['slug'], h['titel'], h['categorie'], h['samenvatting'], h['inhoud'].strip(), i * 10),
+                          commit=True)
+
+
+# =====================================================================
+# Gebruikers
+# =====================================================================
+def zoek_gebruiker(naam_of_email):
+    """Actieve of inactieve gebruiker op gebruikersnaam of e-mailadres (hoofdletterongevoelig)."""
+    from database import central_query
+    w = (naam_of_email or '').strip()
+    if not w:
+        return None
+    rows = central_query("SELECT * FROM Gebruikers WHERE Gebruikersnaam = %s OR Emailadres = %s "
+                         "ORDER BY Gebruikersnaam = %s DESC LIMIT 1", (w, w.lower(), w))
+    return rows[0] if rows else None
+
+
+def gebruiker_op_id(gid):
+    from database import central_query
+    rows = central_query("SELECT * FROM Gebruikers WHERE Gebruiker_ID = %s", (gid,))
+    return rows[0] if rows else None
+
+
+def registreer_login(gid, ip):
+    from database import central_query
+    try:
+        central_query("UPDATE Gebruikers SET Last_login = NOW(), IP_laatste_login = %s WHERE Gebruiker_ID = %s",
+                      (ip, gid), commit=True)
+    except Exception as e:
+        sys.stderr.write(f"PIVOT: laatste login niet bewaard: {e}\n")
+
+
+def bewaar_laatste_school(gid, code):
+    """Onthoudt de school waarin de gebruiker het laatst werkte (die wordt bij de volgende aanmelding geladen)."""
+    from database import central_query
+    if not gid or not code:
+        return
+    try:
+        central_query("UPDATE Gebruikers SET Laatste_school = %s WHERE Gebruiker_ID = %s", (code, gid), commit=True)
+    except Exception as e:
+        sys.stderr.write(f"PIVOT: laatst actieve school niet bewaard: {e}\n")
+
+
+def rechten_van(gid, school_id):
+    """Set met codes van onderdelen waarop gebruiker `gid` rechten heeft in school `school_id`."""
+    from database import central_query
+    rows = central_query(
+        "SELECT o.Code FROM Gebruiker_rechten r JOIN Onderdelen o ON o.Onderdeel_ID = r.Onderdeel_ID "
+        "WHERE r.Gebruiker_ID = %s AND r.School_ID = %s", (gid, school_id))
+    return {r['Code'] for r in rows}
+
+
+def scholen_met_rechten(gid):
+    """School_ID's waar de gebruiker minstens één recht heeft."""
+    from database import central_query
+    rows = central_query("SELECT DISTINCT School_ID FROM Gebruiker_rechten WHERE Gebruiker_ID = %s", (gid,))
+    return {r['School_ID'] for r in rows}
+
+
+def mag_in_school(gebruiker, school):
+    """Mag deze gebruiker (rij uit Gebruikers) in deze school inloggen?"""
+    if not gebruiker or not school:
+        return False
+    if int(gebruiker['Veiligheidsgroep']) == ADMIN:
+        return True
+    return school.id in scholen_met_rechten(gebruiker['Gebruiker_ID'])
+
+
+def zet_rechten(gid, school_id, codes, door=None):
+    """Vervangt alle rechten van gebruiker `gid` in school `school_id` door `codes`."""
+    from database import get_central_connection
+    codes = [c for c in codes if c in CODES]
+    conn = get_central_connection()
+    cur = conn.cursor()
+    try:
+        conn.start_transaction()
+        cur.execute("DELETE FROM Gebruiker_rechten WHERE Gebruiker_ID = %s AND School_ID = %s", (gid, school_id))
+        if codes:
+            plek = ','.join(['%s'] * len(codes))
+            cur.execute(
+                f"INSERT INTO Gebruiker_rechten (Gebruiker_ID, School_ID, Onderdeel_ID, Toegekend_door) "
+                f"SELECT %s, %s, Onderdeel_ID, %s FROM Onderdelen WHERE Code IN ({plek})",
+                (gid, school_id, door, *codes))
+        conn.commit()
+    except Exception:
+        conn.rollback()
+        raise
+    finally:
+        cur.close()
+        conn.close()
+
+
+# =====================================================================
+# Huidige gebruiker
+# =====================================================================
+def is_admin():
+    return bool(session.get('admin')) or bool(session.get('superbeheerder'))
+
+
+def huidige_rechten():
+    """Rechten van de ingelogde gebruiker in de huidige school (één keer per request opgehaald)."""
+    if not has_request_context() or not session.get('auth'):
+        return set()
+    if is_admin():
+        return set(CODES)
+    if '_rechten' in g:
+        return g._rechten
+    gid = session.get('gebruiker_id')
+    school = g.get('school')
+    rechten = set()
+    if gid and school:
+        try:
+            rechten = rechten_van(gid, school.id)
+        except Exception as e:
+            sys.stderr.write(f"PIVOT: rechten ophalen mislukt: {e}\n")
+    g._rechten = rechten
+    return rechten
+
+
+def heeft_recht(*codes):
+    """True als de ingelogde gebruiker in de huidige school minstens één van deze rechten heeft."""
+    rechten = huidige_rechten()
+    return any(c in rechten for c in codes)
+
+
+def recht_vereist(*codes):
+    """Decorator voor routes: de gebruiker moet in de huidige school één van deze rechten hebben."""
+    for c in codes:
+        if c not in CODES:
+            raise ValueError(f"Onbekend onderdeel '{c}'")
+
+    def decorator(view):
+        @functools.wraps(view)
+        def wrapped(*a, **kw):
+            if not session.get('auth') or not session.get('school'):
+                return redirect(url_for('auth.login'))
+            if not heeft_recht(*codes):
+                flash("Je hebt geen rechten voor dit onderdeel in deze school.", "error")
+                return redirect(url_for('main.dashboard'))
+            return view(*a, **kw)
+        return wrapped
+    return decorator
+
+
+def admin_vereist(view):
+    @functools.wraps(view)
+    def wrapped(*a, **kw):
+        if not session.get('auth'):
+            return redirect(url_for('auth.login'))
+        if not is_admin():
+            flash("Enkel voor administrators.", "error")
+            return redirect(url_for('main.dashboard'))
+        return view(*a, **kw)
+    return wrapped
+
+
+# =====================================================================
+# Logboek (tabel Logs)
+# =====================================================================
+def log(actie=None, url=None):
+    """Schrijft een regel in Logs. Fouten worden genegeerd (loggen mag PIVOT nooit blokkeren)."""
+    from database import central_query
+    try:
+        school = g.get('school') if has_request_context() else None
+        central_query(
+            "INSERT INTO Logs (Bezochte_url, Gebruiker_ID, School_ID, Actie, IP) VALUES (%s, %s, %s, %s, %s)",
+            ((url or (request.full_path.rstrip('?') if has_request_context() else ''))[:2048],
+             session.get('gebruiker_id') if has_request_context() else None,
+             school.id if school else None,
+             (actie or '')[:255] or None,
+             request.remote_addr if has_request_context() else None),
+            commit=True)
+    except Exception as e:
+        sys.stderr.write(f"PIVOT: loggen mislukt: {e}\n")
diff --git a/requirements.txt b/requirements.txt
new file mode 100644
index 0000000..0ff42a9
--- /dev/null
+++ b/requirements.txt
@@ -0,0 +1,17 @@
+# Getest met Python 3.11 – 3.13
+Flask>=3.0,<4
+Authlib>=1.3,<2
+google-auth>=2.25
+google-auth-oauthlib>=1.1
+google-auth-httplib2>=0.2
+google-api-python-client>=2.100
+requests>=2.32
+mysql-connector-python>=8.4
+xhtml2pdf>=0.2.16
+python-dateutil>=2.8.2
+# zeep 4.3+ nodig voor Python 3.13 (oudere versies gebruiken de verwijderde module 'cgi')
+zeep>=4.3.1
+qrcode>=8.1
+pandas>=2.2.3
+openpyxl>=3.1.2
+cryptography>=41
\ No newline at end of file
diff --git a/services/CIP_inleveren.py b/services/CIP_inleveren.py
new file mode 100644
index 0000000..c2e3cdc
--- /dev/null
+++ b/services/CIP_inleveren.py
@@ -0,0 +1,66 @@
+# CIP_inleveren.py – toestel terug inleveren (en eventueel herstelling registreren)
+from database import execute_query
+from datetime import date
+from services import toestellen as tst
+
+foutmelding = ""
+
+
+def Inleveren(internnummer, toestelnummer, action_type, tab2_schade_text):
+    global foutmelding
+
+    # 1. Zoek leerling op (zet om naar officieel Internnummer)
+    leerling = tst.zoek_leerling(internnummer)
+    if not leerling:
+        foutmelding = "Error: Internnummer niet gevonden."
+        return
+
+    # 2. Zoek het toestel en de huidige toekenning aan deze leerling
+    toestel = tst.zoek_toestel(toestelnummer)
+    if not toestel:
+        foutmelding = "Error: Toestelnummer niet gevonden in de toestellenlijst."
+        return
+    eigendom = execute_query(
+        "SELECT Eigendom_ID FROM Eigendom WHERE Toestel_ID = %s AND Internnummer = %s AND Datum_inlevering IS NULL",
+        (toestel['Toestel_ID'], leerling['Internnummer']))
+    if not eigendom:
+        foutmelding = "Error: Dit toestel staat niet als 'uitgeleend' aan deze leerling in de database."
+        return
+
+    # 3. Verwerk de inlevering
+    try:
+        _verwerk_inlevering(eigendom[0]['Eigendom_ID'], leerling, toestel['Toestel_ID'], action_type, tab2_schade_text)
+        foutmelding = "Toestel succesvol ingeleverd."
+    except Exception as e:
+        foutmelding = f"Systeemfout: {str(e)}"
+
+
+def _verwerk_inlevering(eigendom_id, leerling, toestel_id, action_type, schade_text):
+    vandaag = date.today()
+
+    # A. Toekenning afsluiten (blijft bewaard als geschiedenis)
+    execute_query("UPDATE Eigendom SET Datum_inlevering = %s WHERE Eigendom_ID = %s", (vandaag, eigendom_id), commit=True)
+
+    # B. Status en eventueel herstelling
+    if action_type == "Schade":
+        execute_query(
+            "INSERT INTO Signpost_herstellingen_DB (Toestel_ID, Omschrijving, Status_herstelling, Datum, Leerling_ID) "
+            "VALUES (%s, %s, 'geregistreerd', %s, %s)",
+            (toestel_id, schade_text, vandaag, leerling['Leerling_ID']), commit=True)
+        execute_query("UPDATE Toestellen SET Status = 'Defect' WHERE Toestel_ID = %s", (toestel_id,), commit=True)
+    else:
+        execute_query("UPDATE Toestellen SET Status = 'Beschikbaar' WHERE Toestel_ID = %s", (toestel_id,), commit=True)
+
+
+def Ingeven_herstelling(toestelnummer, soort_herstelling):
+    """Herstelling registreren zonder inlevering door een leerling."""
+    global foutmelding
+    toestel = tst.zoek_toestel(toestelnummer)
+    if not toestel:
+        foutmelding = f"Toestel {toestelnummer} niet gevonden."
+        return
+    execute_query(
+        "INSERT INTO Signpost_herstellingen_DB (Toestel_ID, Omschrijving, Status_herstelling, Datum) "
+        "VALUES (%s, %s, 'In afwachting', %s)",
+        (toestel['Toestel_ID'], soort_herstelling, date.today()), commit=True)
+    foutmelding = "Herstelling ingegeven"
diff --git a/services/CIP_uitdelen.py b/services/CIP_uitdelen.py
new file mode 100644
index 0000000..485e6ba
--- /dev/null
+++ b/services/CIP_uitdelen.py
@@ -0,0 +1,51 @@
+# CIP_uitdelen.py – toestel uitdelen aan een leerling
+from database import execute_query
+from datetime import date
+from services import toestellen as tst
+
+foutmelding = ""
+
+
+def uitdelen(internnummer, toestelnummer):
+    """`toestelnummer` = eigen toestelnummer van de school (Schooleigen_ID) of serienummer."""
+    global foutmelding
+
+    # 1. Validatie van input
+    if not internnummer or not toestelnummer:
+        foutmelding = "Error: Vul zowel het Internnummer als het toestelnummer in."
+        return False
+
+    # 2. Check of leerling bestaat
+    leerling = tst.zoek_leerling(internnummer)
+    if not leerling:
+        foutmelding = "Error: Internnummer niet gevonden in de leerlingenlijst."
+        return False
+
+    # 3. Check of toestel bestaat
+    toestel = tst.zoek_toestel(toestelnummer)
+    if not toestel:
+        foutmelding = "Error: Toestelnummer niet gevonden in de toestellenlijst."
+        return False
+
+    # 4. Check of toestel al is uitgegeven
+    huidig = tst.actieve_eigendom(toestel['Toestel_ID'])
+    if huidig:
+        foutmelding = f"Error: Toestel is al toegekend aan {huidig['Internnummer']}"
+        return False
+
+    # 5. Alles OK -> Uitvoeren
+    try:
+        _verwerk_uitdeling(leerling['Internnummer'], toestel['Toestel_ID'])
+        foutmelding = "Toestel succesvol uitgedeeld!"
+        return True
+    except Exception as e:
+        foutmelding = f"Systeemfout: {str(e)}"
+        return False
+
+
+def _verwerk_uitdeling(internnummer, toestel_id):
+    """Nieuwe rij in Eigendom (zonder Datum_inlevering) en toestel op 'Uitgeleend'."""
+    execute_query(
+        "INSERT INTO Eigendom (Internnummer, Toestel_ID, Status, Datum_toekenning) VALUES (%s, %s, %s, %s)",
+        (internnummer, toestel_id, 1 if tst.is_geblokkeerd(toestel_id) else 0, date.today()), commit=True)
+    execute_query("UPDATE Toestellen SET Status = 'Uitgeleend' WHERE Toestel_ID = %s", (toestel_id,), commit=True)
diff --git a/services/__init__.py b/services/__init__.py
new file mode 100644
index 0000000..e69de29
diff --git a/services/aanwezigheid_service.py b/services/aanwezigheid_service.py
new file mode 100644
index 0000000..00ef3a0
--- /dev/null
+++ b/services/aanwezigheid_service.py
@@ -0,0 +1,69 @@
+"""
+Internaat › Aanwezigheden: per intern, per dag een ochtend- en een avondcontrole (aanwezig / afwezig / nog niet
+gecontroleerd). De internen komen uit Informat (Internaat-API); de registraties staan in de schooldatabase
+(tabel internaat_aanwezigheid) en zijn dus gedeeld met alle opvoeders.
+"""
+from datetime import date, timedelta
+
+from database import execute_query
+
+MOMENTEN = ('ochtend', 'avond')
+STATUSSEN = ('aanwezig', 'afwezig')            # 'leeg' = geen rij
+DAGEN = ['Ma', 'Di', 'Wo', 'Do', 'Vr', 'Za', 'Zo']
+DAGEN_VOLUIT = ['Maandag', 'Dinsdag', 'Woensdag', 'Donderdag', 'Vrijdag', 'Zaterdag', 'Zondag']
+
+
+def ensure_table():
+    execute_query("""
+        CREATE TABLE IF NOT EXISTS internaat_aanwezigheid (
+            Datum       DATE         NOT NULL,
+            Persoon_ID  VARCHAR(64)  NOT NULL,
+            Moment      VARCHAR(10)  NOT NULL,
+            Status      VARCHAR(10)  NOT NULL,
+            Naam        VARCHAR(200) NULL,
+            Bijgewerkt  DATETIME     NOT NULL,
+            Door        VARCHAR(255) NULL,
+            PRIMARY KEY (Datum, Persoon_ID, Moment),
+            KEY idx_aanw_persoon (Persoon_ID)
+        ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci""", commit=True)
+
+
+def maandag_van(d):
+    return d - timedelta(days=d.weekday())
+
+
+def schooljaar_van(d):
+    start = d.year if d.month >= 9 else d.year - 1
+    return f"{start}-{str(start + 1)[-2:]}"
+
+
+def week(maandag):
+    """{'<persoon>:<dagindex>:<moment>': status} voor de week vanaf `maandag`."""
+    ensure_table()
+    rijen = execute_query("SELECT Datum, Persoon_ID, Moment, Status FROM internaat_aanwezigheid "
+                          "WHERE Datum BETWEEN %s AND %s", (maandag, maandag + timedelta(days=6))) or []
+    return {f"{r['Persoon_ID']}:{(r['Datum'] - maandag).days}:{r['Moment']}": r['Status'] for r in rijen}
+
+
+def zet(datum, persoon_id, moment, status, naam=None, door=None):
+    """Bewaart één controle. status 'leeg' wist de registratie."""
+    if moment not in MOMENTEN:
+        raise ValueError("Onbekend moment.")
+    ensure_table()
+    if status == 'leeg':
+        execute_query("DELETE FROM internaat_aanwezigheid WHERE Datum = %s AND Persoon_ID = %s AND Moment = %s",
+                      (datum, persoon_id, moment), commit=True)
+        return
+    if status not in STATUSSEN:
+        raise ValueError("Onbekende status.")
+    execute_query("INSERT INTO internaat_aanwezigheid (Datum, Persoon_ID, Moment, Status, Naam, Bijgewerkt, Door) "
+                  "VALUES (%s, %s, %s, %s, %s, NOW(), %s) ON DUPLICATE KEY UPDATE Status = VALUES(Status), "
+                  "Naam = VALUES(Naam), Bijgewerkt = NOW(), Door = VALUES(Door)",
+                  (datum, persoon_id, moment, status, (naam or '')[:200] or None, door), commit=True)
+
+
+def groep_van(r, meerdere_internaten=False):
+    """Groep in het register: het blok van de kamer, anders de vestiging (met het internaat ervoor als er meerdere zijn)."""
+    blok = (r.get('kamer') or '').split(' verd.')[0].split(' nr.')[0]
+    groep = blok.replace('blok', 'Blok') if blok.startswith('blok') else (r.get('vestiging') or 'Zonder kamer')
+    return f"{r['internaat']} · {groep}" if meerdere_internaten else groep
diff --git a/services/afwezigheden_service.py b/services/afwezigheden_service.py
new file mode 100644
index 0000000..3880728
--- /dev/null
+++ b/services/afwezigheden_service.py
@@ -0,0 +1,296 @@
+"""
+Afwezigheden (o.a. B-codes) uit Smartschool ophalen en bewaren.
+
+Werking
+- Per schooldag wordt `getAbsentsWithInternalNumberByDate` aangeroepen.
+  Smartschool geeft per leerling (internnummer) de code van de voormiddag (am)
+  en namiddag (pm) terug.
+- Enkel de codes uit config.ini (standaard: B) worden bewaard in de tabel
+  `smartschool_afwezigheden`. Andere codes worden genegeerd.
+- Eén keer per dag (standaard 06:00) synchroniseert een achtergrondtaak.
+  De laatste 14 dagen worden telkens opnieuw opgehaald, zodat correcties
+  in Smartschool ook in PIVOT terechtkomen.
+
+Vereist in Smartschool:
+  Beheer › Webservices › het webservice-wachtwoord moet het recht
+  'Afwezigheden' hebben.
+"""
+import json
+import sys
+import threading
+import time
+from datetime import date, datetime, timedelta
+
+from config import Config
+from database import execute_query
+from tenancy import school_singleton, alle_scholen, in_school, met_school
+
+HERHAAL_DAGEN = 14          # laatste X dagen altijd opnieuw ophalen
+DAGDEEL = {'am': 'VM', 'pm': 'NM'}
+
+
+def schooljaar_start(vandaag=None):
+    vandaag = vandaag or date.today()
+    jaar = vandaag.year if vandaag.month >= 9 else vandaag.year - 1
+    return date(jaar, 9, 1)
+
+
+class AfwezighedenService:
+    _scheduler = None      # één achtergrondtaak voor alle scholen
+
+    def __new__(cls):
+        # één instantie per school (eigen status, lock en Smartschool-client)
+        def init(inst):
+            inst._lock = threading.Lock()
+            inst._client = None
+            inst.status = {'bezig': False, 'gestart': None, 'voortgang': 0, 'totaal': 0,
+                           'laatste_fout': None, 'laatste_resultaat': None}
+        return school_singleton(cls, init)
+
+    # ---------------- configuratie ----------------
+    @property
+    def codes(self):
+        return [c.strip().upper() for c in Config.AFWEZIGHEID_CODES.split(',') if c.strip()]
+
+    @property
+    def laat_codes(self):
+        """Codes die 'te laat' betekenen (Laatkomers). Ze worden samen met de afwezigheidscodes opgehaald."""
+        return [c.strip().upper() for c in str(Config.LAATKOMER_CODES or '').split(',') if c.strip()]
+
+    def _ss(self):
+        if self._client is None:
+            from services.smartschool_api import SmartschoolService
+            if not (Config.SS_API_PLATFORM and Config.SS_API_PW):
+                raise RuntimeError("Smartschool is nog niet ingesteld voor deze school "
+                                   "(platform en webservice-wachtwoord via 🔌 Koppelingen van deze school).")
+            self._client = SmartschoolService(platform=Config.SS_API_PLATFORM,
+                                              webservice_pwd=Config.SS_API_PW)
+        return self._client
+
+    # ---------------- database ----------------
+    @staticmethod
+    def ensure_tables():
+        execute_query("""
+            CREATE TABLE IF NOT EXISTS smartschool_afwezigheden (
+                Datum        DATE        NOT NULL,
+                Internnummer VARCHAR(32) NOT NULL,
+                Dagdeel      CHAR(2)     NOT NULL,
+                Code         VARCHAR(8)  NOT NULL,
+                PRIMARY KEY (Datum, Internnummer, Dagdeel),
+                INDEX idx_intern (Internnummer),
+                INDEX idx_code (Code)
+            )""", commit=True)
+        execute_query("""
+            CREATE TABLE IF NOT EXISTS smartschool_afwezigheden_sync (
+                Datum      DATE     NOT NULL PRIMARY KEY,
+                Opgehaald  DATETIME NOT NULL,
+                Aantal     INT      NOT NULL DEFAULT 0
+            )""", commit=True)
+
+    # ---------------- Smartschool ----------------
+    def fetch_day(self, dag):
+        """Geeft {internnummer: {'VM': code, 'NM': code}} voor één dag (alleen de gezochte codes)."""
+        raw = self._ss().client.service.getAbsentsWithInternalNumberByDate(
+            Config.SS_API_PW, dag.strftime('%Y-%m-%d'))
+
+        if raw is None or raw == '':
+            return {}
+        if isinstance(raw, (int, float)) or (isinstance(raw, str) and raw.strip().lstrip('-').isdigit()):
+            # Smartschool geeft bij fouten een numerieke foutcode terug
+            raise RuntimeError(f"Smartschool foutcode {raw} (controleer het recht 'Afwezigheden' "
+                               "voor het webservice-wachtwoord).")
+        data = json.loads(raw) if isinstance(raw, str) else raw
+        if not isinstance(data, dict):
+            return {}
+
+        gezocht = set(self.codes) | set(self.laat_codes)
+        result = {}
+        for intern, delen in data.items():
+            if not isinstance(delen, dict):
+                continue
+            for key, label in DAGDEEL.items():
+                val = delen.get(key)
+                if isinstance(val, dict):        # variant met alias: {'code': 'B', 'alias': ...}
+                    val = val.get('code')
+                code = (val or '').strip().upper()
+                if code in gezocht:
+                    result.setdefault(str(intern).strip(), {})[label] = code
+        return result
+
+    def _store_day(self, dag, per_leerling):
+        execute_query("DELETE FROM smartschool_afwezigheden WHERE Datum = %s", (dag,), commit=True)
+        aantal = 0
+        for intern, delen in per_leerling.items():
+            for dagdeel, code in delen.items():
+                execute_query(
+                    "INSERT INTO smartschool_afwezigheden (Datum, Internnummer, Dagdeel, Code) "
+                    "VALUES (%s, %s, %s, %s)", (dag, intern, dagdeel, code), commit=True)
+                aantal += 1
+        execute_query(
+            "INSERT INTO smartschool_afwezigheden_sync (Datum, Opgehaald, Aantal) VALUES (%s, NOW(), %s) "
+            "ON DUPLICATE KEY UPDATE Opgehaald = NOW(), Aantal = VALUES(Aantal)", (dag, aantal), commit=True)
+        return aantal
+
+    # ---------------- synchronisatie ----------------
+    def dagen_te_synchroniseren(self, vandaag=None, volledig=False):
+        vandaag = vandaag or date.today()
+        start = schooljaar_start(vandaag)
+        alle = [start + timedelta(days=i) for i in range((vandaag - start).days + 1)]
+        schooldagen = [d for d in alle if d.weekday() < 5]          # ma–vr
+        if volledig:
+            return schooldagen
+        rows = execute_query("SELECT Datum FROM smartschool_afwezigheden_sync WHERE Datum >= %s", (start,))
+        gehad = {r['Datum'] for r in rows}
+        grens = vandaag - timedelta(days=HERHAAL_DAGEN)
+        return [d for d in schooldagen if d not in gehad or d >= grens]
+
+    def sync(self, volledig=False):
+        """Synchroniseert (blokkerend). Geeft (ok, bericht) terug."""
+        if not self._lock.acquire(blocking=False):
+            return False, "Er loopt al een synchronisatie."
+        try:
+            self.ensure_tables()
+            dagen = self.dagen_te_synchroniseren(volledig=volledig)
+            self.status.update(bezig=True, gestart=datetime.now(), voortgang=0,
+                               totaal=len(dagen), laatste_fout=None)
+            gevonden, fouten = 0, 0
+            for i, dag in enumerate(dagen, 1):
+                try:
+                    gevonden += self._store_day(dag, self.fetch_day(dag))
+                except Exception as e:
+                    fouten += 1
+                    self.status['laatste_fout'] = str(e)
+                    sys.stderr.write(f"Afwezigheden {dag}: {e}\n")
+                self.status['voortgang'] = i
+                if fouten >= 3 and fouten == i:          # eerste 3 dagen allemaal fout → stoppen
+                    break
+            if fouten and fouten == self.status['voortgang']:
+                msg = f"Synchronisatie mislukt: {self.status['laatste_fout']}"
+                ok = False
+            else:
+                msg = (f"{len(dagen)} schooldag(en) gecontroleerd, {gevonden} halve dag(en) met code "
+                       f"{'/'.join(self.codes)} op die dagen" + (f", {fouten} dag(en) met fouten." if fouten else "."))
+                ok = True
+            self.status['laatste_resultaat'] = msg
+            return ok, msg
+        finally:
+            self.status['bezig'] = False
+            self._lock.release()
+
+    def sync_in_background(self, volledig=False):
+        if self.status['bezig']:
+            return False
+        self.status.update(bezig=True, voortgang=0, totaal=0)   # meteen tonen op de pagina
+        threading.Thread(target=met_school(self.sync), kwargs={'volledig': volledig}, daemon=True).start()
+        return True
+
+    def dagelijkse_controle(self, nu=None):
+        """Start de synchronisatie als het sync-uur van deze school voorbij is en er vandaag nog niet gesynchroniseerd werd."""
+        nu = nu or datetime.now()
+        if nu.hour < Config.AFWEZIGHEID_SYNC_UUR:
+            return
+        self.ensure_tables()
+        rows = execute_query("SELECT MAX(Opgehaald) AS m FROM smartschool_afwezigheden_sync")
+        laatst = rows[0]['m'] if rows else None
+        if not laatst or laatst.date() < nu.date():
+            print(f"[{Config.SCHOOLNAME_SHORT}] Afwezigheden: dagelijkse synchronisatie gestart.", flush=True)
+            ok, msg = self.sync()
+            print(f"[{Config.SCHOOLNAME_SHORT}] Afwezigheden: {msg}", flush=True)
+
+    @classmethod
+    def start_scheduler(cls):
+        """Eén achtergrondtaak die elk kwartier alle scholen met een Smartschool-koppeling overloopt."""
+        if AfwezighedenService._scheduler:
+            return
+
+        def loop():
+            time.sleep(30)                       # app eerst laten opstarten
+            gedaan = {}                          # school → laatste dag waarop gecontroleerd
+            while True:
+                nu = datetime.now()
+                for school in alle_scholen():
+                    if not school.heeft('SS_API_PLATFORM', 'SS_API_PW') or gedaan.get(school.code) == nu.date():
+                        continue
+                    try:
+                        with in_school(school):
+                            if nu.hour >= Config.AFWEZIGHEID_SYNC_UUR:
+                                cls().dagelijkse_controle(nu)
+                                gedaan[school.code] = nu.date()
+                    except Exception as e:
+                        sys.stderr.write(f"[{school.code}] Afwezigheden scheduler: {e}\n")
+                time.sleep(15 * 60)
+
+        AfwezighedenService._scheduler = threading.Thread(target=loop, daemon=True)
+        AfwezighedenService._scheduler.start()
+
+    # ---------------- opvragen ----------------
+    def laatste_sync(self):
+        rows = execute_query("SELECT MAX(Opgehaald) AS m, MAX(Datum) AS d FROM smartschool_afwezigheden_sync")
+        return rows[0] if rows else {'m': None, 'd': None}
+
+    def overzicht(self, van, tot, code=None, zoek=None, minimum=1):
+        params = [van, tot]
+        where = "a.Datum BETWEEN %s AND %s"
+        codes = [code] if code else self.codes        # laatkomerscodes horen niet bij de afwezigheden
+        where += f" AND a.Code IN ({', '.join(['%s'] * len(codes))})"
+        params.extend(codes)
+        sql = f"""
+            SELECT a.Internnummer,
+                   MAX(l.Voornaam) AS Voornaam, MAX(l.Naam) AS Naam, MAX(l.Gebruikersnaam) AS Gebruikersnaam,
+                   COUNT(*) AS Halve_dagen,
+                   COUNT(DISTINCT a.Datum) AS Dagen,
+                   MIN(a.Datum) AS Eerste, MAX(a.Datum) AS Laatste
+            FROM smartschool_afwezigheden a
+            LEFT JOIN Leerlingen l ON l.Internnummer = a.Internnummer
+            WHERE {where}
+            GROUP BY a.Internnummer
+            HAVING COUNT(*) >= %s
+            ORDER BY Halve_dagen DESC, Laatste DESC
+        """
+        params.append(int(minimum or 1))
+        rows = execute_query(sql, tuple(params))
+        if zoek:
+            z = zoek.lower()
+            rows = [r for r in rows if z in ' '.join(str(r.get(k) or '') for k in
+                    ('Internnummer', 'Voornaam', 'Naam', 'Gebruikersnaam')).lower()]
+        return rows
+
+    def detail(self, internnummer, van, tot, code=None):
+        params = [internnummer, van, tot]
+        codes = [code] if code else self.codes
+        extra = f" AND Code IN ({', '.join(['%s'] * len(codes))})"
+        params.extend(codes)
+        rows = execute_query(
+            "SELECT Datum, Dagdeel, Code FROM smartschool_afwezigheden "
+            f"WHERE Internnummer = %s AND Datum BETWEEN %s AND %s{extra} ORDER BY Datum DESC, Dagdeel",
+            tuple(params))
+        # samenvoegen per dag
+        per_dag = {}
+        for r in rows:
+            d = per_dag.setdefault(r['Datum'], {'Datum': r['Datum'], 'VM': None, 'NM': None})
+            d[r['Dagdeel']] = r['Code']
+        return list(per_dag.values())
+
+    def laatkomers(self, van, tot):
+        """Alle leerlingen die tussen van en tot te laat waren: aantal keer, eerste en laatste datum en de lijst
+        van data (nieuwste eerst). Eén keer te laat = één halve dag met een laatkomerscode."""
+        codes = self.laat_codes
+        if not codes:
+            return []
+        rows = execute_query(
+            f"""SELECT a.Internnummer, a.Datum, a.Dagdeel,
+                       l.Voornaam, l.Naam, l.Gebruikersnaam
+                FROM smartschool_afwezigheden a
+                LEFT JOIN Leerlingen l ON l.Internnummer = a.Internnummer
+                WHERE a.Datum BETWEEN %s AND %s AND a.Code IN ({', '.join(['%s'] * len(codes))})
+                ORDER BY a.Datum DESC, a.Dagdeel""", (van, tot, *codes))
+        per = {}
+        for r in rows:
+            l = per.setdefault(r['Internnummer'], {
+                'Internnummer': r['Internnummer'], 'Voornaam': r['Voornaam'], 'Naam': r['Naam'],
+                'Gebruikersnaam': r['Gebruikersnaam'], 'Aantal': 0, 'Laatste': r['Datum'], 'Eerste': r['Datum'],
+                'Data': []})
+            l['Aantal'] += 1
+            l['Eerste'] = r['Datum']
+            l['Data'].append((r['Datum'], r['Dagdeel']))
+        return sorted(per.values(), key=lambda x: (-x['Aantal'], -x['Laatste'].toordinal()))
diff --git a/services/bingel_service.py b/services/bingel_service.py
new file mode 100644
index 0000000..ca2851f
--- /dev/null
+++ b/services/bingel_service.py
@@ -0,0 +1,186 @@
+"""
+Basisonderwijs › Bingel: leerlingenlijst uit Informat (alle instellingsnummers/campussen van de school) voor de import
+in Bingel. Kolommen: Klas, Voornaam, Familienaam, Wachtwoord (leeg), Klasnummer, Geslacht (M/V).
+
+Informat-leerlingen-API:
+  GET <API-URL>/students?schoolYear=&refdate=        → de leerlingen (naam, voornaam, geslacht, inschrijvingsId)
+  GET <API-URL>/registrations?schoolYear=&refdate=   → de inschrijvingen, met de klas
+Het klasnummer haalt PIVOT niet uit Informat: binnen elke klas nummert het alfabetisch (familienaam, voornaam).
+Gekoppeld op inschrijvingsId (anders op pPersoon). De velden worden op verschillende plaatsen en namen gezocht
+(zie KANDIDATEN), bij een lijst (bv. klassen in de loop van het jaar) eerst de lopende.
+"""
+import json
+import time
+from datetime import date
+
+from config import Config
+
+KANDIDATEN = {
+    'klas': ('klascode', 'klasCode', 'klas', 'klasnaam', 'klasNaam', 'className', 'class'),
+    'geslacht': ('geslacht', 'gender', 'sex'),
+    'voornaam': ('voornaam', 'firstName', 'roepnaam'),
+    'naam': ('naam', 'lastName', 'familienaam'),
+}
+CACHE_SECONDEN = 10 * 60
+
+
+class BingelFout(Exception):
+    pass
+
+
+def _datum(w):
+    try:
+        return date.fromisoformat(str(w)[:10])
+    except (TypeError, ValueError):
+        return None
+
+
+def _lopend(item, vandaag):
+    """Is deze inschrijving lopend op `vandaag` (begin/einde onder verschillende namen)?"""
+    if not isinstance(item, dict):
+        return True
+    begin = next((_datum(item[k]) for k in ('begindatum', 'beginDatum', 'startDate', 'van') if item.get(k)), None)
+    einde = next((_datum(item[k]) for k in ('einddatum', 'eindDatum', 'endDate', 'tot') if item.get(k)), None)
+    return (not begin or begin <= vandaag) and (not einde or einde >= vandaag)
+
+
+def _zoek(obj, namen, vandaag, diepte=0):
+    """Eerste niet-lege waarde voor een van `namen`: eerst op dit niveau, dan in (lopende) geneste lijsten/dicts."""
+    if not isinstance(obj, dict) or diepte > 3:
+        return None
+    for n in namen:
+        w = obj.get(n)
+        if isinstance(w, dict):           # bv. "klas": {"code": "3A", "naam": "3de leerjaar A"}
+            w = w.get('code') or w.get('naam') or w.get('name')
+        if w not in (None, '') and not isinstance(w, (dict, list)):
+            return w
+    for w in obj.values():
+        kinderen = [x for x in w if isinstance(x, dict)] if isinstance(w, list) else ([w] if isinstance(w, dict) else [])
+        kinderen.sort(key=lambda x: not _lopend(x, vandaag))      # lopende inschrijving eerst
+        for k in kinderen:
+            gevonden = _zoek(k, namen, vandaag, diepte + 1)
+            if gevonden not in (None, ''):
+                return gevonden
+    return None
+
+
+def _geslacht(w):
+    t = str(w or '').strip().upper()
+    if t in ('M', 'MAN', 'MANNELIJK', 'JONGEN', 'MALE', '1'):
+        return 'M'
+    if t in ('V', 'F', 'VROUW', 'VROUWELIJK', 'MEISJE', 'FEMALE', '2'):
+        return 'V'
+    return t[:1]
+
+
+def _nummer(w):
+    try:
+        return int(str(w).strip())
+    except (TypeError, ValueError):
+        return str(w).strip() if w not in (None, '') else None
+
+
+def _inschrijvingen(svc, nummer, refdate):
+    """Inschrijvingen (met klas) van één instellingsnummer. Geeft (lijst, fout)."""
+    import requests
+    from datetime import datetime, timezone
+    token = svc.get_informat_token(nummer)
+    if not token:
+        return [], f"Informat-authenticatie mislukt ({nummer})"
+    headers = {'Authorization': f'BEARER {token}', 'InstituteNo': nummer, 'Api-Version': '1', 'Accept': 'application/json',
+               'Timestamp': datetime.now(timezone.utc).strftime('%Y-%m-%dT%H:%M:%S.000Z')}
+    url = f"{svc.api_base.strip().rstrip('/')}/registrations"
+    params = {'schoolYear': Config.SCHOOLYEAR, 'refdate': refdate}
+    try:
+        r = requests.get(url, params=params, headers=headers, timeout=60)
+        if r.status_code == 405:
+            r = requests.post(url, params=params, headers=headers, timeout=60)
+    except Exception as e:
+        return [], f"inschrijvingen niet bereikbaar: {e}"
+    if r.status_code == 404:
+        return [], None
+    if r.status_code != 200:
+        return [], f"inschrijvingen: HTTP {r.status_code} {r.text[:150]}"
+    data = r.json()
+    return (data if isinstance(data, list) else (data.get('registrations') or data.get('items') or data.get('data') or [])), None
+
+
+def leerlingen(vernieuw=False):
+    """[{'klas','voornaam','naam','klasnummer','geslacht'}] gesorteerd op klas en klasnummer (alfabetisch), plus een voorbeeld
+    van de ruwe velden van de eerste leerling (om te controleren). Bewaard voor 10 minuten."""
+    from tenancy import huidige_school
+    from services.sync_service import SyncService
+    school = huidige_school()
+    bewaard = school.cache.get('bingel')
+    if bewaard and not vernieuw and time.time() - bewaard[0] < CACHE_SECONDEN:
+        return bewaard[1], bewaard[2], bewaard[3]
+    if not school.heeft('INFORMAT_INST_NUMBER', 'INFORMAT_ID', 'INFORMAT_SECRET'):
+        raise BingelFout("Informat is nog niet ingesteld voor deze school (🔌 Koppelingen › Informat).")
+    svc, vandaag = SyncService(), date.today()
+    ruw, gezien, inschr, waarschuwing = [], set(), {}, None
+    for nummer, naam in (svc.campussen or [(svc.institute_no, '')]):
+        ok, lijst = svc.informat_lijst(vandaag.isoformat(), Config.SCHOOLYEAR, nummer)
+        if not ok:
+            raise BingelFout(f"{naam + ': ' if naam else ''}{lijst}")
+        reg, fout = _inschrijvingen(svc, nummer, vandaag.isoformat())
+        if fout:
+            waarschuwing = f"Klassen konden niet opgehaald worden ({fout})."
+        for ins in sorted(reg, key=lambda x: _lopend(x, vandaag)):      # lopende inschrijving wint
+            for k in ('inschrijvingsId', 'pInschrijving', 'id'):
+                if ins.get(k) not in (None, ''):
+                    inschr[('i', str(ins[k]))] = ins
+            if ins.get('pPersoon') not in (None, ''):
+                inschr[('p', str(ins['pPersoon']))] = ins
+        for st in lijst:
+            sleutel = str(st.get('pPersoon') or st.get('internNummer') or st.get('id') or id(st))
+            if sleutel not in gezien:
+                gezien.add(sleutel)
+                ruw.append(st)
+    uit = []
+    for st in ruw:
+        ins = inschr.get(('i', str(st.get('inschrijvingsId')))) or inschr.get(('p', str(st.get('pPersoon')))) or {}
+        uit.append({'klas': str(_zoek(ins, KANDIDATEN['klas'], vandaag) or _zoek(st, KANDIDATEN['klas'], vandaag) or '').strip(),
+                    'voornaam': str(_zoek(st, KANDIDATEN['voornaam'], vandaag) or '').strip(),
+                    'naam': str(_zoek(st, KANDIDATEN['naam'], vandaag) or '').strip(),
+                    'klasnummer': None,
+                    'geslacht': _geslacht(_zoek(st, KANDIDATEN['geslacht'], vandaag))})
+    # Klasnummer: alfabetisch binnen de klas (familienaam, dan voornaam)
+    uit.sort(key=lambda r: (not r['klas'], r['klas'].lower(), r['naam'].lower(), r['voornaam'].lower()))
+    vorige, nr = None, 0
+    for r in uit:
+        nr = nr + 1 if r['klas'] == vorige else 1
+        vorige = r['klas']
+        r['klasnummer'] = nr if r['klas'] else None
+    # Om na te kijken: de velden van een inschrijving en een voorbeeld van een klas-item (eerste niet-lege)
+    alle_ins = list({id(v): v for v in inschr.values()}.values())
+    met_klas = next((i for i in alle_ins if _klas_items(i, vandaag)), None)
+    klas_item = _klas_items(met_klas, vandaag)[0] if met_klas else None
+    voorbeeld = {'leerling': _velden(ruw[0]) if ruw else [],
+                 'inschrijving': _velden(met_klas or (alle_ins[0] if alle_ins else {})),
+                 'klas_item': json.dumps(klas_item, ensure_ascii=False, default=str)[:600] if klas_item else ''}
+    school.cache['bingel'] = (time.time(), uit, voorbeeld, waarschuwing)
+    return uit, voorbeeld, waarschuwing
+
+
+def _klas_items(ins, vandaag):
+    """De klas-items van een inschrijving (bv. inschrKlassen), lopende eerst."""
+    items = []
+    for k, v in (ins or {}).items():
+        if 'klas' in k.lower() and isinstance(v, list):
+            items += [x for x in v if isinstance(x, dict)]
+    return sorted(items, key=lambda x: not _lopend(x, vandaag))
+
+
+def _velden(obj, prefix=''):
+    """Namen van de velden van één leerling (met geneste velden als a.b), om te zien wat Informat teruggeeft."""
+    uit = []
+    if isinstance(obj, dict):
+        for k, v in obj.items():
+            pad = f"{prefix}{k}"
+            if isinstance(v, dict):
+                uit += _velden(v, pad + '.')
+            elif isinstance(v, list) and v and isinstance(v[0], dict):
+                uit += _velden(v[0], pad + '.')
+            else:
+                uit.append(pad)
+    return uit
diff --git a/services/co2_service.py b/services/co2_service.py
new file mode 100644
index 0000000..db2f55d
--- /dev/null
+++ b/services/co2_service.py
@@ -0,0 +1,81 @@
+import threading
+import time
+import requests
+import re
+from database import execute_query
+from config import Config
+from tenancy import school_singleton, met_school
+
+
+def lokaal_id(naam):
+    """Lokaal_ID voor een lokaalnaam; maakt het lokaal aan (zonder campus) als het nog niet bestaat."""
+    from database import execute_insert
+    rows = execute_query("SELECT Lokaal_ID FROM Lokalen WHERE Naam = %s ORDER BY Lokaal_ID LIMIT 1", (naam,))
+    if rows:
+        return rows[0]['Lokaal_ID']
+    return execute_insert("INSERT INTO Lokalen (Naam) VALUES (%s)", (naam,))
+
+
+class CO2Scanner:
+    def __new__(cls):
+        # één scanner per school (elke school heeft een eigen netwerkbereik)
+        def init(inst):
+            inst.active = False
+            inst.thread = None
+            inst.auto_delete = False
+            inst.conf = Config()
+        return school_singleton(cls, init)
+    #start service
+    def start(self):
+        if not self.active:
+            self.active = True
+            self.thread = threading.Thread(target=met_school(self._run_scan_loop), daemon=True)
+            self.thread.start()
+            print("CO2 Scanner Service gestart.")
+
+    #killswitch
+    def stop(self):
+        self.active = False
+        print("CO2 Scanner Service gestopt.")
+    #houd service in actie
+    def _run_scan_loop(self):
+        while self.active:
+            self.perform_scan()
+            # Wacht het aantal minuten uit je config.ini (bijv. 5)
+            time.sleep(self.conf.CO2_INTERVAL * 60)
+    #functie die effectieve taak uitvoerd
+    def perform_scan(self):
+        """De logica uit je originele script om IP's af te gaan."""
+        start_ip = self.conf.CO2_START_ADDR
+        end_ip = self.conf.CO2_END_ADDR
+        network = self.conf.CO2_NETWORK
+        if not network:
+            return
+
+        for i in range(start_ip, end_ip + 1):
+            if not self.active and threading.current_thread() == self.thread:
+                break 
+            
+            ip = f"{network}{i}"
+            url = f"http://{ip}/v1/constellation"
+            
+            try:
+                # Time-out kort houden zodat de scan niet uren duurt
+                response = requests.get(url, timeout=1.5)
+                if response.status_code == 200:
+                    data = response.text
+                    # Regex uit je originele script
+                    conc_match = re.search(r'"concentration":\s*{\s*"unit":\s*"ppm",\s*"value":\s*(\d+)', data)
+                    name_match = re.search(r'"device_name":\s*{\s*"value":\s*"(.*?)"', data)
+
+                    if conc_match:
+                        ppm = int(conc_match.group(1))
+                        lokaal = name_match.group(1) if name_match else ip
+                        
+                        # Opslaan in DB (lokaal wordt aangemaakt als het nog niet bestaat)
+                        execute_query(
+                            "INSERT INTO CO2_Metingen (Lokaal_ID, ppm, Timestamp) VALUES (%s, %s, NOW())",
+                            (lokaal_id(lokaal), ppm), commit=True
+                        )
+            except:
+                continue
\ No newline at end of file
diff --git a/services/coaccounts_service.py b/services/coaccounts_service.py
new file mode 100644
index 0000000..3e5ad11
--- /dev/null
+++ b/services/coaccounts_service.py
@@ -0,0 +1,200 @@
+"""
+Co-accounts van alle leerlingen uit Smartschool, met klas en laatste aanmelding.
+
+Werking (achtergrondtaak, per school):
+1. getClassListJson            → de officiële klassen
+2. getAllAccountsExtended      → de leerlingen per klas (met hun co-accountvelden, als Smartschool die meegeeft)
+3. getUserDetailsByUsername    → enkel voor leerlingen waarvan de co-accountvelden ontbraken
+Het resultaat komt in de tabel smartschool_coaccounts (telkens volledig vervangen).
+Wordt opnieuw opgehaald als de gegevens ouder zijn dan VERVERS_UREN, of met de knop op de pagina.
+"""
+import json
+import sys
+import threading
+from datetime import datetime
+
+from config import Config
+from database import execute_query
+from tenancy import school_singleton, met_school
+
+VERVERS_UREN = 24
+MAX_CO = 6
+
+
+def _json(raw):
+    if raw is None or raw == '':
+        return None
+    if isinstance(raw, (int, float)) or (isinstance(raw, str) and raw.strip().lstrip('-').isdigit()):
+        raise RuntimeError(f"Smartschool foutcode {raw}")
+    return json.loads(raw) if isinstance(raw, str) else raw
+
+
+def _lijst(data):
+    if isinstance(data, dict):
+        for k in ('accounts', 'users', 'items'):
+            if isinstance(data.get(k), list):
+                return data[k]
+        return list(data.values())
+    return data or []
+
+
+def _login(waarde):
+    """'2026-09-12 08:01:22' → datetime; leeg, '0000-00-00…' of ongeldig → None."""
+    t = str(waarde or '').strip()
+    if not t or t.startswith('0000') or t.lower() in ('none', 'nooit', 'never'):
+        return None
+    for fmt in ('%Y-%m-%d %H:%M:%S', '%Y-%m-%dT%H:%M:%S', '%Y-%m-%d %H:%M', '%Y-%m-%d', '%d-%m-%Y %H:%M:%S', '%d/%m/%Y %H:%M'):
+        try:
+            return datetime.strptime(t[:19], fmt)
+        except ValueError:
+            continue
+    return None
+
+
+def co_accounts_uit(data):
+    """Co-accounts (1-6) uit de gegevens van één leerling. Lege lijst als er geen co-accountvelden zijn."""
+    uit = []
+    for i in range(1, MAX_CO + 1):
+        voornaam = str(data.get(f"voornaam_coaccount{i}") or '').strip()
+        naam = str(data.get(f"naam_coaccount{i}") or '').strip()
+        if not (voornaam or naam):
+            continue
+        uit.append({'nr': i, 'voornaam': voornaam, 'naam': naam,
+                    'type': str(data.get(f"type_coaccount{i}") or '').strip(),
+                    'email': str(data.get(f"email_coaccount{i}") or '').strip(),
+                    'login': _login(data.get(f"last_successful_login_coaccount{i}"))})
+    return uit
+
+
+def heeft_co_velden(data):
+    return any(k.startswith('voornaam_coaccount') for k in data)
+
+
+class CoAccountsService:
+    def __new__(cls):
+        def init(inst):
+            inst._lock = threading.Lock()
+            inst.status = {'bezig': False, 'voortgang': 0, 'totaal': 0, 'fout': None, 'resultaat': None}
+        return school_singleton(cls, init)
+
+    @staticmethod
+    def ensure_tables():
+        execute_query("""
+            CREATE TABLE IF NOT EXISTS smartschool_coaccounts (
+                Internnummer    VARCHAR(32)  NOT NULL,
+                Nr              TINYINT      NOT NULL,
+                Gebruikersnaam  VARCHAR(100) NULL,
+                Leerling_naam   VARCHAR(100) NULL,
+                Leerling_voornaam VARCHAR(100) NULL,
+                Klas            VARCHAR(50)  NULL,
+                Voornaam        VARCHAR(100) NULL,
+                Naam            VARCHAR(100) NULL,
+                Type            VARCHAR(50)  NULL,
+                Email           VARCHAR(255) NULL,
+                Laatste_login   DATETIME     NULL,
+                Opgehaald       DATETIME     NOT NULL,
+                PRIMARY KEY (Internnummer, Nr),
+                KEY idx_coacc_klas (Klas)
+            )""", commit=True)
+
+    # ---------------- opvragen ----------------
+    def laatst_opgehaald(self):
+        rows = execute_query("SELECT MAX(Opgehaald) AS m FROM smartschool_coaccounts")
+        return rows[0]['m'] if rows else None
+
+    def alle(self):
+        return execute_query(
+            "SELECT * FROM smartschool_coaccounts ORDER BY Klas, Leerling_naam, Leerling_voornaam, Nr") or []
+
+    def verouderd(self):
+        laatst = self.laatst_opgehaald()
+        return not laatst or (datetime.now() - laatst).total_seconds() > VERVERS_UREN * 3600
+
+    # ---------------- ophalen uit Smartschool ----------------
+    def _leerlingen(self, ss):
+        """[(account-dict, klasnaam)] voor alle leerlingen in een officiële klas (elke leerling één keer)."""
+        klassen = []
+        for k in _lijst(_json(ss.client.service.getClassListJson(Config.SS_API_PW))):
+            if not isinstance(k, dict):
+                continue
+            if str(k.get('isKlas', k.get('isOfficial', True))).lower() in ('false', '0', 'none'):
+                continue
+            code = str(k.get('code') or '').strip()
+            if code:
+                klassen.append((code, str(k.get('name') or code).strip()))
+        klassen.sort(key=lambda x: x[1])
+        self.status.update(totaal=len(klassen), voortgang=0)
+        gezien, uit = set(), []
+        for i, (code, naam) in enumerate(klassen, 1):
+            try:
+                leden = _lijst(_json(ss.client.service.getAllAccountsExtended(Config.SS_API_PW, code, '0')))
+            except Exception as e:
+                sys.stderr.write(f"Co-accounts: klas {naam}: {e}\n")
+                leden = []
+            for a in leden:
+                if not isinstance(a, dict):
+                    continue
+                rol = str(a.get('basisrol') or a.get('basisRol') or '').lower()
+                if rol and rol not in ('1', 'leerling', 'student'):
+                    continue
+                sleutel = str(a.get('internnummer') or a.get('gebruikersnaam') or '').strip()
+                if sleutel and sleutel not in gezien:
+                    gezien.add(sleutel)
+                    uit.append((a, naam))
+            self.status['voortgang'] = i
+        return uit
+
+    def sync(self):
+        if not self._lock.acquire(blocking=False):
+            return False, "Er loopt al een ophaling."
+        try:
+            from services.smartschool_api import SmartschoolService
+            self.status.update(bezig=True, voortgang=0, totaal=0, fout=None)
+            self.ensure_tables()
+            ss = SmartschoolService(Config.SS_API_PLATFORM, Config.SS_API_PW)
+            leerlingen = self._leerlingen(ss)
+            # Leerlingen zonder co-accountvelden in de klaslijst: details apart opvragen
+            zonder = [i for i, (a, _) in enumerate(leerlingen) if not heeft_co_velden(a)]
+            self.status.update(totaal=self.status['totaal'] + len(zonder))
+            for n, i in enumerate(zonder, 1):
+                a, klas = leerlingen[i]
+                try:
+                    d = _json(ss.client.service.getUserDetailsByUsername(Config.SS_API_PW, a.get('gebruikersnaam')))
+                    if isinstance(d, dict):
+                        leerlingen[i] = ({**a, **d}, klas)
+                except Exception as e:
+                    sys.stderr.write(f"Co-accounts: {a.get('gebruikersnaam')}: {e}\n")
+                self.status['voortgang'] += 1
+            nu = datetime.now()
+            rijen = []
+            for a, klas in leerlingen:
+                intern = str(a.get('internnummer') or a.get('gebruikersnaam') or '').strip()
+                for c in co_accounts_uit(a):
+                    rijen.append((intern, c['nr'], a.get('gebruikersnaam'), a.get('naam'), a.get('voornaam'), klas,
+                                  c['voornaam'], c['naam'], c['type'], c['email'], c['login'], nu))
+            if not leerlingen:
+                raise RuntimeError("Smartschool gaf geen leerlingen terug. Heeft het webservice-wachtwoord de "
+                                   "rechten voor gebruikers en klassen?")
+            execute_query("DELETE FROM smartschool_coaccounts", commit=True)
+            for r in rijen:
+                execute_query("INSERT INTO smartschool_coaccounts (Internnummer, Nr, Gebruikersnaam, Leerling_naam, "
+                              "Leerling_voornaam, Klas, Voornaam, Naam, Type, Email, Laatste_login, Opgehaald) "
+                              "VALUES (%s,%s,%s,%s,%s,%s,%s,%s,%s,%s,%s,%s)", r, commit=True)
+            nooit = sum(1 for r in rijen if not r[10])
+            msg = (f"{len(leerlingen)} leerlingen en {len(rijen)} co-accounts opgehaald; "
+                   f"{nooit} co-account(s) nog nooit aangemeld.")
+            self.status['resultaat'] = msg
+            return True, msg
+        except Exception as e:
+            self.status['fout'] = str(e)
+            return False, f"Ophalen mislukt: {e}"
+        finally:
+            self.status['bezig'] = False
+            self._lock.release()
+
+    def sync_op_achtergrond(self):
+        if self.status['bezig']:
+            return False
+        self.status.update(bezig=True, voortgang=0, totaal=0)
+        threading.Thread(target=met_school(self.sync), daemon=True).start()
+        return True
diff --git a/services/contacten_service.py b/services/contacten_service.py
new file mode 100644
index 0000000..4ada095
--- /dev/null
+++ b/services/contacten_service.py
@@ -0,0 +1,391 @@
+"""
+Gmail › Contacten: twee soorten contactbeheer in Google Workspace.
+
+1. Adresboek van de organisatie (Directory API, admin.directory.user)
+   Per gebruiker 'includeInGlobalAddressList': zichtbaar of verborgen in het adresboek en bij het aanvullen van adressen.
+
+2. Contactlijsten in de mailboxen (People API, https://www.googleapis.com/auth/contacts)
+   Een lijst (label) met contacten die PIVOT in de persoonlijke contacten van elke gebruiker in de gekozen OU's zet en
+   bijhoudt. PIVOT herkent zijn eigen contacten aan een eigen veld (userDefined 'PIVOT'), en past enkel die aan.
+"""
+import hashlib
+import json
+import sys
+import threading
+import time
+from datetime import datetime
+
+from config import Config
+from database import execute_query
+from tenancy import school_singleton, met_school, google_credentials, huidige_school
+
+SCOPE_PEOPLE = 'https://www.googleapis.com/auth/contacts'
+PIVOT_SLEUTEL = 'PIVOT'
+
+
+class ContactFout(Exception):
+    pass
+
+
+def vriendelijk(e, scope=None):
+    t = str(e)
+    laag = t.lower()
+    if 'unauthorized_client' in laag or 'access_denied' in laag or 'invalid_scope' in laag:
+        return ("Google weigert de toegang: voeg in de Admin-console › Beveiliging › API-beheer › Domeinbrede delegatie "
+                f"het bereik {scope or '(zie handleiding)'} toe bij het serviceaccount van PIVOT.")
+    if 'has not been used' in laag or 'is disabled' in laag or 'accessnotconfigured' in laag or 'service_disabled' in laag:
+        return ("De nodige API staat niet aan in het Google Cloud-project van het serviceaccount "
+                "(voor contactlijsten: People API).")
+    return t[:300]
+
+
+def _directory():
+    from googleapiclient.discovery import build
+    creds = google_credentials(Config.GOOGLE_API_SCOPES, subject=Config.GOOGLE_ADMIN_EMAIL)
+    return build('admin', 'directory_v1', credentials=creds, static_discovery=False, cache_discovery=False)
+
+
+def ou_lijst():
+    try:
+        resp = _directory().orgunits().list(customerId='my_customer', type='all').execute()
+    except Exception as e:
+        raise ContactFout(f"OU's ophalen mislukt: {vriendelijk(e)}")
+    return sorted([o['orgUnitPath'] for o in resp.get('organizationUnits', [])] + ['/'], key=str.lower)
+
+
+def gebruikers_in(ous, met_sub=True, velden='primaryEmail,name,orgUnitPath,includeInGlobalAddressList,suspended'):
+    api, uit, gezien = _directory(), [], set()
+    for ou in ous:
+        token = None
+        while True:
+            params = dict(customer='my_customer', maxResults=500, pageToken=token,
+                          fields=f'nextPageToken,users({velden})')
+            if ou != '/':
+                params['query'] = "orgUnitPath='" + ou.replace("\\", "\\\\").replace("'", "\\'") + "'"
+            try:
+                resp = api.users().list(**params).execute()
+            except Exception as e:
+                raise ContactFout(f"Gebruikers van {ou} ophalen mislukt: {vriendelijk(e)}")
+            for u in resp.get('users', []):
+                pad = u.get('orgUnitPath') or '/'
+                if (not met_sub and pad != ou) or u['primaryEmail'].lower() in gezien:
+                    continue
+                gezien.add(u['primaryEmail'].lower())
+                n = u.get('name') or {}
+                uit.append({'email': u['primaryEmail'].lower(), 'naam': n.get('fullName') or u['primaryEmail'],
+                            'achternaam': n.get('familyName', ''), 'ou': pad, 'geschorst': bool(u.get('suspended')),
+                            'zichtbaar': u.get('includeInGlobalAddressList', True) is not False})
+            token = resp.get('nextPageToken')
+            if not token:
+                break
+    return sorted(uit, key=lambda x: (x['achternaam'].lower(), x['naam'].lower()))
+
+
+# =====================================================================
+# 1. Adresboek: zichtbaar of verborgen
+# =====================================================================
+def zet_zichtbaar(emails, zichtbaar):
+    api, fouten = _directory(), []
+    for e in emails:
+        try:
+            api.users().patch(userKey=e, body={'includeInGlobalAddressList': bool(zichtbaar)}).execute()
+        except Exception as ex:
+            fouten.append(f"{e}: {vriendelijk(ex)}")
+    return fouten
+
+
+# =====================================================================
+# 2. Contactlijsten in de mailboxen (People API)
+# =====================================================================
+def ensure_tables():
+    execute_query("""
+        CREATE TABLE IF NOT EXISTS contact_lijsten (
+            ID          INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+            Naam        VARCHAR(100) NOT NULL,
+            OUs         TEXT         NULL,
+            Met_sub_ous TINYINT      NOT NULL DEFAULT 1,
+            Bijgewerkt  DATETIME     NULL,
+            Door        VARCHAR(255) NULL,
+            Laatste_sync DATETIME    NULL,
+            Resultaat   VARCHAR(500) NULL
+        ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci""", commit=True)
+    execute_query("""
+        CREATE TABLE IF NOT EXISTS contact_lijst_items (
+            ID          INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+            Lijst_ID    INT          NOT NULL,
+            Voornaam    VARCHAR(100) NULL,
+            Achternaam  VARCHAR(100) NULL,
+            Organisatie VARCHAR(150) NULL,
+            Functie     VARCHAR(150) NULL,
+            Email       VARCHAR(255) NULL,
+            Telefoon    VARCHAR(60)  NULL,
+            Notitie     VARCHAR(500) NULL,
+            KEY idx_cli_lijst (Lijst_ID)
+        ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci""", commit=True)
+
+
+def _schoon(c):
+    uit = {k: (str(c.get(k) or '').strip())[:500] for k in
+           ('voornaam', 'achternaam', 'organisatie', 'functie', 'email', 'telefoon', 'notitie')}
+    if not (uit['voornaam'] or uit['achternaam'] or uit['organisatie']):
+        raise ContactFout("Geef bij elk contact minstens een naam of een organisatie.")
+    if uit['email'] and '@' not in uit['email']:
+        raise ContactFout(f"Ongeldig e-mailadres: {uit['email']}")
+    return uit
+
+
+def _ous(r):
+    try:
+        return [o for o in json.loads(r.get('OUs') or '[]') if isinstance(o, str)]
+    except ValueError:
+        return []
+
+
+def lijsten():
+    ensure_tables()
+    rijen = execute_query("SELECT l.*, (SELECT COUNT(*) FROM contact_lijst_items i WHERE i.Lijst_ID = l.ID) AS aantal "
+                          "FROM contact_lijsten l ORDER BY l.Naam") or []
+    for r in rijen:
+        r['ous'] = _ous(r)
+    return rijen
+
+
+def lijst(lijst_id):
+    ensure_tables()
+    r = execute_query("SELECT * FROM contact_lijsten WHERE ID = %s", (lijst_id,))
+    if not r:
+        return None
+    r = r[0]
+    r['ous'] = _ous(r)
+    r['items'] = execute_query("SELECT * FROM contact_lijst_items WHERE Lijst_ID = %s ORDER BY Achternaam, Voornaam, "
+                               "Organisatie", (lijst_id,)) or []
+    return r
+
+
+def lijst_bewaren(lijst_id, naam, ous, met_sub, items, door):
+    ensure_tables()
+    naam = (naam or '').strip()[:100]
+    if not naam:
+        raise ContactFout("Geef de lijst een naam (die wordt het label in Google Contacten).")
+    schoon = []
+    for i in items:
+        if any(str(i.get(k) or '').strip() for k in i if k != 'id'):
+            c = _schoon(i)
+            c['id'] = int(i['id']) if str(i.get('id') or '').isdigit() else None
+            schoon.append(c)
+    if lijst_id:
+        execute_query("UPDATE contact_lijsten SET Naam = %s, OUs = %s, Met_sub_ous = %s, Bijgewerkt = NOW(), Door = %s "
+                      "WHERE ID = %s", (naam, json.dumps(sorted(set(ous))), 1 if met_sub else 0, door, lijst_id),
+                      commit=True)
+    else:
+        from database import execute_insert
+        lijst_id = execute_insert("INSERT INTO contact_lijsten (Naam, OUs, Met_sub_ous, Bijgewerkt, Door) "
+                                  "VALUES (%s, %s, %s, NOW(), %s)",
+                                  (naam, json.dumps(sorted(set(ous))), 1 if met_sub else 0, door))
+    # Bestaande contacten behouden hun ID (zo herkent PIVOT ze in de mailboxen en past het ze aan i.p.v. opnieuw te maken)
+    bestaand = {r['ID'] for r in execute_query("SELECT ID FROM contact_lijst_items WHERE Lijst_ID = %s", (lijst_id,)) or []}
+    behouden = set()
+    velden = (lambda i: (i['voornaam'], i['achternaam'], i['organisatie'], i['functie'], i['email'], i['telefoon'],
+                         i['notitie']))
+    for i in schoon:
+        if i['id'] in bestaand:
+            execute_query("UPDATE contact_lijst_items SET Voornaam = %s, Achternaam = %s, Organisatie = %s, Functie = %s, "
+                          "Email = %s, Telefoon = %s, Notitie = %s WHERE ID = %s AND Lijst_ID = %s",
+                          velden(i) + (i['id'], lijst_id), commit=True)
+            behouden.add(i['id'])
+        else:
+            execute_query("INSERT INTO contact_lijst_items (Lijst_ID, Voornaam, Achternaam, Organisatie, Functie, Email, "
+                          "Telefoon, Notitie) VALUES (%s, %s, %s, %s, %s, %s, %s, %s)", (lijst_id,) + velden(i), commit=True)
+    for weg in bestaand - behouden:
+        execute_query("DELETE FROM contact_lijst_items WHERE ID = %s", (weg,), commit=True)
+    return lijst_id
+
+
+def lijst_verwijderen_db(lijst_id):
+    execute_query("DELETE FROM contact_lijst_items WHERE Lijst_ID = %s", (lijst_id,), commit=True)
+    execute_query("DELETE FROM contact_lijsten WHERE ID = %s", (lijst_id,), commit=True)
+
+
+def _people(mailbox):
+    from googleapiclient.discovery import build
+    creds = google_credentials([SCOPE_PEOPLE], subject=mailbox)
+    try:
+        return build('people', 'v1', credentials=creds, static_discovery=True, cache_discovery=False)
+    except Exception:
+        return build('people', 'v1', credentials=creds, static_discovery=False, cache_discovery=False)
+
+
+def _persoon(item, merk, groep):
+    p = {'names': [{'givenName': item['Voornaam'] or '', 'familyName': item['Achternaam'] or ''}],
+         'userDefined': [{'key': PIVOT_SLEUTEL, 'value': merk}],
+         'memberships': [{'contactGroupMembership': {'contactGroupResourceName': groep}}]}
+    if not (item['Voornaam'] or item['Achternaam']):
+        p['names'] = [{'givenName': item['Organisatie'] or item['Email'] or ''}]
+    if item['Email']:
+        p['emailAddresses'] = [{'value': item['Email'], 'type': 'work'}]
+    if item['Telefoon']:
+        p['phoneNumbers'] = [{'value': item['Telefoon'], 'type': 'work'}]
+    if item['Organisatie'] or item['Functie']:
+        p['organizations'] = [{'name': item['Organisatie'] or '', 'title': item['Functie'] or ''}]
+    if item['Notitie']:
+        p['biographies'] = [{'value': item['Notitie'], 'contentType': 'TEXT_PLAIN'}]
+    return p
+
+
+def _hash(item):
+    return hashlib.sha1(json.dumps([item[k] for k in ('Voornaam', 'Achternaam', 'Organisatie', 'Functie', 'Email',
+                                                      'Telefoon', 'Notitie')]).encode()).hexdigest()[:12]
+
+
+PERSON_FIELDS = 'names,emailAddresses,phoneNumbers,organizations,biographies,userDefined,memberships'
+
+
+def _herhaal(fn, pogingen=5):
+    for poging in range(pogingen):
+        try:
+            return fn()
+        except Exception as e:
+            status = getattr(getattr(e, 'resp', None), 'status', None)
+            if status in (429, 500, 503) and poging < pogingen - 1:
+                time.sleep(2 ** poging + 1)
+                continue
+            raise
+
+
+def _pivot_contacten(svc, lijst_id):
+    """{item-sleutel: person} van de contacten die PIVOT voor deze lijst in deze mailbox zette."""
+    uit, token = {}, None
+    prefix = f"lijst{lijst_id}:"
+    while True:
+        resp = _herhaal(lambda: svc.people().connections().list(
+            resourceName='people/me', pageSize=1000, pageToken=token, personFields=PERSON_FIELDS).execute())
+        for p in resp.get('connections', []):
+            merk = next((u.get('value', '') for u in p.get('userDefined', []) if u.get('key') == PIVOT_SLEUTEL), '')
+            if merk.startswith(prefix):
+                uit[merk.split('#')[0]] = (merk, p)
+        token = resp.get('nextPageToken')
+        if not token:
+            return uit
+
+
+def _groep(svc, naam, maak=True):
+    resp = _herhaal(lambda: svc.contactGroups().list(pageSize=1000).execute())
+    for g in resp.get('contactGroups', []):
+        if g.get('groupType') == 'USER_CONTACT_GROUP' and g.get('name') == naam:
+            return g['resourceName']
+    if not maak:
+        return None
+    return _herhaal(lambda: svc.contactGroups().create(body={'contactGroup': {'name': naam}}).execute())['resourceName']
+
+
+def sync_mailbox(email, l, verwijderen=False, oude_naam=None):
+    """Zet de contacten van lijst `l` in de mailbox (of haalt ze weg). Geeft (toegevoegd, gewijzigd, verwijderd)."""
+    svc = _people(email)
+    bestaand = _pivot_contacten(svc, l['ID'])
+    toegevoegd = gewijzigd = verwijderd = 0
+    gewenst = {} if verwijderen else {f"lijst{l['ID']}:{i['ID']}": i for i in l['items']}
+    groep = None
+    if gewenst:
+        groep = _groep(svc, l['Naam'])
+        if oude_naam and oude_naam != l['Naam']:
+            oud = _groep(svc, oude_naam, maak=False)
+            if oud and oud != groep:
+                _herhaal(lambda: svc.contactGroups().delete(resourceName=oud, deleteContacts=False).execute())
+    for sleutel, item in gewenst.items():
+        merk = f"{sleutel}#{_hash(item)}"
+        if sleutel in bestaand:
+            oud_merk, p = bestaand[sleutel]
+            in_groep = any(m.get('contactGroupMembership', {}).get('contactGroupResourceName') == groep
+                           for m in p.get('memberships', []))
+            if oud_merk == merk and in_groep:
+                continue
+            body = _persoon(item, merk, groep)
+            body['etag'] = p.get('etag')
+            body['memberships'] = [m for m in p.get('memberships', [])
+                                   if m.get('contactGroupMembership', {}).get('contactGroupResourceName') != groep] \
+                + body['memberships']
+            _herhaal(lambda: svc.people().updateContact(
+                resourceName=p['resourceName'], updatePersonFields=PERSON_FIELDS, body=body).execute())
+            gewijzigd += 1
+        else:
+            _herhaal(lambda: svc.people().createContact(body=_persoon(item, merk, groep)).execute())
+            toegevoegd += 1
+    for sleutel, (merk, p) in bestaand.items():
+        if sleutel not in gewenst:
+            _herhaal(lambda: svc.people().deleteContact(resourceName=p['resourceName']).execute())
+            verwijderd += 1
+    if verwijderen:
+        g = _groep(svc, l['Naam'], maak=False)
+        if g:
+            try:
+                _herhaal(lambda: svc.contactGroups().delete(resourceName=g, deleteContacts=False).execute())
+            except Exception:
+                pass
+    return toegevoegd, gewijzigd, verwijderd
+
+
+class LijstSync:
+    def __new__(cls):
+        def init(inst):
+            inst._lock = threading.Lock()
+            inst.status = {'bezig': False, 'lijst': None, 'voortgang': 0, 'totaal': 0, 'fouten': 0, 'fout': None,
+                           'resultaat': None, 'foutvoorbeelden': []}
+        return school_singleton(cls, init)
+
+    def run(self, lijst_id, verwijderen=False, oude_naam=None, oude_ous=None):
+        if not self._lock.acquire(blocking=False):
+            return False, "Er loopt al een opdracht."
+        s = self.status
+        try:
+            l = lijst(lijst_id)
+            if not l:
+                raise ContactFout("Lijst niet gevonden.")
+            s.update(bezig=True, lijst=l['Naam'], voortgang=0, totaal=0, fouten=0, fout=None, resultaat=None,
+                     foutvoorbeelden=[])
+            ontvangers = gebruikers_in(l['ous'], bool(l['Met_sub_ous']), 'primaryEmail,name,orgUnitPath,suspended')
+            ontvangers = [u for u in ontvangers if not u['geschorst']]
+            # Wie niet meer in de gekozen OU's zit (OU's gewijzigd): de contacten van deze lijst weghalen
+            weg = []
+            if oude_ous is not None:
+                nu = {u['email'] for u in ontvangers}
+                weg = [u for u in gebruikers_in(oude_ous, True, 'primaryEmail,name,orgUnitPath,suspended')
+                       if u['email'] not in nu and not u['geschorst']]
+            s['totaal'] = len(ontvangers) + len(weg)
+            t = {'toegevoegd': 0, 'gewijzigd': 0, 'verwijderd': 0}
+            for u, enkel_weg in [(u, verwijderen) for u in ontvangers] + [(u, True) for u in weg]:
+                try:
+                    a, b, c = sync_mailbox(u['email'], l, verwijderen=enkel_weg, oude_naam=oude_naam)
+                    t['toegevoegd'] += a; t['gewijzigd'] += b; t['verwijderd'] += c
+                except Exception as e:
+                    s['fouten'] += 1
+                    if len(s['foutvoorbeelden']) < 6:
+                        s['foutvoorbeelden'].append(f"{u['email']}: {vriendelijk(e, SCOPE_PEOPLE)[:180]}")
+                    sys.stderr.write(f"Contactlijst {l['Naam']} → {u['email']}: {e}\n")
+                s['voortgang'] += 1
+            if verwijderen:
+                msg = f"Lijst '{l['Naam']}' uit {len(ontvangers)} mailbox(en) gehaald ({t['verwijderd']} contacten)"
+            else:
+                msg = (f"Lijst '{l['Naam']}' in {len(ontvangers)} mailbox(en): {t['toegevoegd']} toegevoegd, "
+                       f"{t['gewijzigd']} bijgewerkt, {t['verwijderd']} verwijderd")
+            if s['fouten']:
+                msg += f", {s['fouten']} mailbox(en) mislukt"
+            s['resultaat'] = msg + '.'
+            if verwijderen and not s['fouten']:
+                lijst_verwijderen_db(lijst_id)
+            else:
+                execute_query("UPDATE contact_lijsten SET Laatste_sync = NOW(), Resultaat = %s WHERE ID = %s",
+                              (s['resultaat'][:500], lijst_id), commit=True)
+            return True, s['resultaat']
+        except Exception as e:
+            s['fout'] = vriendelijk(e, SCOPE_PEOPLE)
+            return False, s['fout']
+        finally:
+            s['bezig'] = False
+            self._lock.release()
+
+    def start(self, *args, **kw):
+        if self.status['bezig']:
+            return False
+        self.status.update(bezig=True, voortgang=0, totaal=0, fout=None, resultaat=None)
+        threading.Thread(target=met_school(lambda: self.run(*args, **kw)), daemon=True).start()
+        return True
diff --git a/services/facturatie_service.py b/services/facturatie_service.py
new file mode 100644
index 0000000..b81ded7
--- /dev/null
+++ b/services/facturatie_service.py
@@ -0,0 +1,405 @@
+"""
+Leerlingfacturatie: de facturen en creditnota's van de leerlingen uit Informat (Rekeningen API / Invoice API).
+
+- Token: zelfde identityserver en client-ID/secret als de leerlingen-API, met scope
+      api_informat_invoices.invoices.read.<toegangsgroep-GUID>_<installatie-ID>
+  Die scope krijgt de client zodra de school in Informat de app toegang geeft tot de rekeningen (toegangsgroep);
+  Informat stuurt dan een e-mail naar de eigenaar van de app. De accessGroupIdentifier in de bevragingen en
+  PDF-adressen is het deel na "read.": <toegangsgroep-GUID>_<installatie-ID>.
+  Staat ze niet in de schoolinstellingen, dan vraagt PIVOT een token zonder scope en leest de toegekende scopes.
+- API: GraphQL op <API-URL>/graphql (standaard https://api.informatsoftware.be/invoices/v1/graphql). Per schooljaar de factuurgroepen (enkel type STUDENT) en per groep de
+  geboekte facturen en creditnota's (totaal, betaald, open, OGM, leerling).
+- PDF: <API-URL>/download/<accessGroupIdentifier>/<invoiceId>/pdf (400 = nog niet aangemaakt: dan eerst .../create/...).
+Het resultaat wordt 10 minuten per school en schooljaar bewaard.
+"""
+import re
+import time
+from datetime import date
+
+import requests
+
+from config import Config
+
+STANDAARD_API = 'https://api.informatsoftware.be/invoices/v1'     # centraal APIM-adres uit de implementatiegids
+SCOPE_RE = re.compile(r'api_informat_invoices\.invoices\.read\.([0-9a-fA-F-]{36})_(\w+)')
+CACHE_SECONDEN = 600
+TIMEOUT = (15, 120)
+
+Q_GROEPEN = """
+query groepen($schoolYear: String!, $accessGroupIdentifier: String!) {
+  accessGroup(accessGroupIdentifier: $accessGroupIdentifier) {
+    invoiceGroups(schoolYear: $schoolYear, where: {invoiceGroupType: {eq: STUDENT}}, order: [{name: ASC}]) {
+      id name invoiceGroupType schoolYear fromDate toDate
+    }
+  }
+}"""
+
+Q_FACTUREN = """
+query facturen($schoolYear: String!, $accessGroupIdentifier: String!, $invoiceGroupId: Int!) {
+  accessGroup(accessGroupIdentifier: $accessGroupIdentifier) {
+    invoiceGroups(schoolYear: $schoolYear, where: {id: {eq: $invoiceGroupId}}) {
+      id name
+      invoices(order: [{printDate: DESC}]) {
+        invoiceId invoiceType printDate dueDate total paid open paymentReference paymentReferenceInvoice
+        recipient { databaseId firstName lastName stamNumber class classNumber }
+      }
+    }
+  }
+}"""
+
+
+Q_NAAM = """
+query naam($accessGroupIdentifier: String!) {
+  accessGroup(accessGroupIdentifier: $accessGroupIdentifier) { guid name }
+}"""
+
+MAX_PROBEER = 400       # meer kandidaat-scopes dan dit proberen we niet één voor één
+
+
+class FacturatieFout(Exception):
+    pass
+
+
+def schooljaren(aantal=3):
+    """['2026-27', '2025-26', ...] vanaf het huidige schooljaar."""
+    vandaag = date.today()
+    start = vandaag.year if vandaag.month >= 9 else vandaag.year - 1
+    return [f"{j}-{str(j + 1)[-2:]}" for j in range(start, start - aantal, -1)]
+
+
+def _datum(w):
+    if not w:
+        return None
+    try:
+        return date.fromisoformat(str(w)[:10])
+    except ValueError:
+        return None
+
+
+def _bedrag(w):
+    try:
+        return round(float(w or 0), 2)
+    except (TypeError, ValueError):
+        return 0.0
+
+
+def status_van(f):
+    if f['type'] == 'CREDIT_NOTE':
+        return 'credit'
+    if abs(f['open']) < 0.005:
+        return 'betaald'
+    if abs(f['betaald']) >= 0.005:
+        return 'gedeeltelijk'
+    return 'open'
+
+
+def _scopes_uit(js):
+    """Scopes uit een token-antwoord: het veld 'scope' of, als dat ontbreekt, de claim 'scope' in het JWT."""
+    import base64, json
+    scope = js.get('scope')
+    if not scope:
+        try:
+            deel = js['access_token'].split('.')[1]
+            claims = json.loads(base64.urlsafe_b64decode(deel + '=' * (-len(deel) % 4)))
+            scope = claims.get('scope')
+        except Exception:
+            scope = None
+    if isinstance(scope, str):
+        scope = scope.split()
+    return [str(x) for x in (scope or [])]
+
+
+class FacturatieService:
+    def __init__(self):
+        from tenancy import huidige_school
+        self.school = huidige_school()
+        self.base = (self.school.get('INFORMAT_FACTUUR_API') or STANDAARD_API).rstrip('/')
+
+    # ---------------- authenticatie ----------------
+    def _token_aanvraag(self, scope=None):
+        data = {'grant_type': 'client_credentials', 'client_id': Config.INFORMAT_ID,
+                'client_secret': Config.INFORMAT_SECRET}
+        if scope:
+            data['scope'] = scope
+        try:
+            r = requests.post(Config.INFORMAT_AUTH_URL, data=data, timeout=15)
+        except Exception as e:
+            raise FacturatieFout(f"Informat (identityserver) is niet bereikbaar: {e}")
+        try:
+            js = r.json()
+        except Exception:
+            js = {}
+        if r.status_code != 200 or not js.get('access_token'):
+            fout = js.get('error') or f"HTTP {r.status_code}"
+            if fout == 'invalid_scope':
+                raise FacturatieFout(f"Informat weigert de scope {scope or '(geen)'} (invalid_scope). Heeft de school in "
+                                     "Informat de app toegang gegeven tot de rekeningen (toegangsgroep)?")
+            if fout == 'invalid_client':
+                raise FacturatieFout("Informat kent deze client-ID/secret niet (invalid_client). Kijk Koppelingen › Informat na.")
+            raise FacturatieFout(f"Aanmelden bij Informat mislukt: {fout}")
+        return js
+
+    def scopes(self):
+        """[(scope, toegangsgroep-GUID)] uit de instellingen, of opgezocht bij Informat."""
+        ingesteld = [x.strip() for x in re.split(r'[,\s]+', self.school.get('INFORMAT_FACTUUR_SCOPE') or '') if x.strip()]
+        if ingesteld:
+            uit = []
+            for sc in ingesteld:
+                m = SCOPE_RE.search(sc)
+                if not m:
+                    raise FacturatieFout(f"'{sc}' is geen geldige scope voor de Rekeningen API "
+                                         "(verwacht: api_informat_invoices.invoices.read.<toegangsgroep>_<installatie>).")
+                uit.append((m.group(0), f"{m.group(1)}_{m.group(2)}"))     # accessGroupIdentifier = <GUID>_<installatie>
+            return uit
+        bewaard = self.school.cache.get('factuur_scopes')
+        if bewaard and time.time() - bewaard[0] < 3600:
+            return bewaard[1]
+        uit = self._bewaarde_scopes()
+        if not uit:
+            uit, info = self.zoek_scopes()
+            if not uit:
+                raise FacturatieFout("PIVOT kon de scope van de Rekeningen API niet zelf vinden. " + info + " Vul bij "
+                                     "Koppelingen › Informat de 'Scope Rekeningen API' in "
+                                     "(api_informat_invoices.invoices.read.<toegangsgroep-GUID>_<installatie-ID>). "
+                                     "Informat mailt die scope naar de eigenaar van de app zodra de school toegang geeft.")
+            self._bewaar_scopes(uit)
+        self.school.cache['factuur_scopes'] = (time.time(), uit)
+        return uit
+
+    # ---------------- scope zelf zoeken ----------------
+    def _groepnamen(self):
+        """De ingevulde naam/namen van de toegangsgroep(en) in Rekeningen (veld 'Toegangsgroep Rekeningen')."""
+        return [x.strip() for x in str(self.school.get('INFORMAT_FACTUUR_GROEP') or '').split(';') if x.strip()]
+
+    def _instelling_sleutel(self):
+        # Hangt ook af van de ingevulde toegangsgroep: pas je die aan, dan zoekt PIVOT opnieuw
+        import zlib
+        groep = ';'.join(n.lower() for n in self._groepnamen())
+        return f"factuur_scope_{self.school.code}"[:40] + f"_{zlib.crc32(groep.encode()):08x}"
+
+    def _bewaarde_scopes(self):
+        """Eerder gevonden scopes van deze school (centrale tabel PIVOT_instellingen)."""
+        try:
+            from database import central_query
+            rij = central_query("SELECT Waarde FROM PIVOT_instellingen WHERE Sleutel = %s", (self._instelling_sleutel(),))
+        except Exception:
+            return []
+        waarde = (rij[0]['Waarde'] if rij else '') or ''
+        return [(f"api_informat_invoices.invoices.read.{g}_{i}", f"{g}_{i}") for g, i in SCOPE_RE.findall(waarde)]
+
+    def _bewaar_scopes(self, uit):
+        try:
+            from database import central_query
+            from services import ipblokkade
+            ipblokkade.ensure_table()
+            central_query("INSERT INTO PIVOT_instellingen (Sleutel, Waarde, Bijgewerkt, Door) VALUES (%s, %s, NOW(), 'PIVOT') "
+                          "ON DUPLICATE KEY UPDATE Waarde = VALUES(Waarde), Bijgewerkt = NOW()",
+                          (self._instelling_sleutel(), ' '.join(sc for sc, _ in uit)[:255]), commit=True)
+        except Exception:
+            pass
+
+    def vergeet_scopes(self):
+        self.school.cache.pop('factuur_scopes', None)
+        try:
+            from database import central_query
+            central_query("DELETE FROM PIVOT_instellingen WHERE Sleutel = %s", (self._instelling_sleutel(),), commit=True)
+        except Exception:
+            pass
+
+    def _discovery_scopes(self):
+        """Alle rekeningen-scopes die de identityserver publiek bekendmaakt (.well-known/openid-configuration)."""
+        basis = Config.INFORMAT_AUTH_URL.split('/connect/')[0].rstrip('/')
+        r = requests.get(f"{basis}/.well-known/openid-configuration", timeout=30)
+        r.raise_for_status()
+        return [sc for sc in (r.json().get('scopes_supported') or []) if SCOPE_RE.fullmatch(str(sc))]
+
+    def _mag(self, scope):
+        """True als deze client een token voor `scope` krijgt (loopt in een aparte thread: school meegeven)."""
+        from tenancy import in_school
+        try:
+            with in_school(self.school):
+                self._token(scope)
+            return True
+        except FacturatieFout:
+            return False
+        except Exception:
+            return False
+
+    def _naam_toegangsgroep(self, scope, ag):
+        try:
+            data = self._gql(scope, Q_NAAM, {'accessGroupIdentifier': ag})
+            return ((data.get('accessGroup') or {}).get('name') or '').strip()
+        except FacturatieFout:
+            return ''
+
+    def zoek_scopes(self):
+        """Zoekt de rekeningen-scope(s) van deze school. Geeft ([(scope, accessGroupIdentifier)], uitleg).
+        1) token zonder scope: soms staan de toegekende scopes in het antwoord of in het token;
+        2) anders: de publieke lijst van scopes van de identityserver, en daarvan enkel die waarvoor deze client
+           een token krijgt (de toegangsgroepen die scholen aan deze app gaven);
+        3) heeft de client toegang tot meer dan één school: de toegangsgroep waarvan de naam het instellingsnummer
+           (of de naam) van deze school bevat, bv. '000448 BS Irishof Kapellen'."""
+        info = ''
+        kandidaten = []
+        try:
+            kandidaten = [sc for sc in _scopes_uit(self._token_aanvraag(None)) if SCOPE_RE.fullmatch(sc)]
+        except FacturatieFout:
+            pass
+        if not kandidaten:
+            try:
+                alle = self._discovery_scopes()
+            except Exception as e:
+                return [], f"De lijst van scopes van Informat kon niet gelezen worden ({e})."
+            if not alle:
+                return [], "Informat maakt de rekeningen-scopes niet publiek bekend."
+            if len(alle) > MAX_PROBEER:
+                return [], f"Informat kent {len(alle)} rekeningen-scopes; te veel om ze allemaal te proberen."
+            from concurrent.futures import ThreadPoolExecutor
+            with ThreadPoolExecutor(max_workers=8) as pool:
+                kandidaten = [sc for sc, ok in zip(alle, pool.map(self._mag, alle)) if ok]
+            if not kandidaten:
+                return [], f"Deze Informat-client krijgt voor geen enkele van de {len(alle)} rekeningen-scopes toegang."
+        paren = [(sc, '_'.join(SCOPE_RE.fullmatch(sc).groups())) for sc in dict.fromkeys(kandidaten)]
+        gevraagd = [n.lower() for n in self._groepnamen()]
+        if gevraagd:
+            # Toegangsgroep ingevuld: enkel de groep(en) met precies die naam (of die de naam bevatten)
+            namen, juist = [], []
+            for sc, ag in paren:
+                gnaam = self._naam_toegangsgroep(sc, ag)
+                namen.append(gnaam or ag)
+                laag = ' '.join(gnaam.lower().split())
+                if any(laag == g or g in laag for g in (' '.join(x.split()) for x in gevraagd)):
+                    juist.append((sc, ag))
+            if juist:
+                return juist, ''
+            return [], ("Geen toegangsgroep gevonden met de naam '" + '; '.join(self._groepnamen()) + "'. Deze client heeft "
+                        "toegang tot: " + ', '.join(namen) + ".")
+        if len(paren) == 1:
+            return paren, ''
+        # Meerdere toegangsgroepen: die van deze school kiezen op naam
+        from tenancy import informat_campussen
+        nummers = {n for n, _ in informat_campussen(self.school.waarden.get('INFORMAT_INST_NUMBER'))}
+        nummers |= {str(self.school.get('INSTELLINGSNUMMER') or '').strip()} - {''}
+        naam = (self.school.naam or '').lower()
+        eigen, namen = [], []
+        for sc, ag in paren:
+            gnaam = self._naam_toegangsgroep(sc, ag)
+            namen.append(gnaam or ag)
+            laag = gnaam.lower()
+            if any(n and (n in laag or n.lstrip('0') and re.search(rf'\b0*{re.escape(n.lstrip("0"))}\b', laag)) for n in nummers) \
+                    or (naam and naam in laag):
+                eigen.append((sc, ag))
+        if eigen:
+            return eigen, ''
+        return [], ("Deze client heeft toegang tot meerdere toegangsgroepen (" + ', '.join(namen) + "), maar geen "
+                    "enkele naam bevat het instellingsnummer van deze school.")
+
+    def _token(self, scope):
+        sleutel = ('factuur_token', scope)
+        bewaard = self.school.cache.get(sleutel)
+        if bewaard and time.time() < bewaard[0]:
+            return bewaard[1]
+        js = self._token_aanvraag(scope)
+        self.school.cache[sleutel] = (time.time() + int(js.get('expires_in') or 3600) - 60, js['access_token'])
+        return js['access_token']
+
+    # ---------------- GraphQL ----------------
+    def _gql(self, scope, query, variabelen):
+        headers = {'Authorization': f"BEARER {self._token(scope)}", 'Content-Type': 'application/json',
+                   'Accept': 'application/json'}
+        try:
+            r = requests.post(f"{self.base}/graphql", json={'query': query, 'variables': variabelen},
+                              headers=headers, timeout=TIMEOUT)
+        except requests.exceptions.Timeout:
+            raise FacturatieFout("De Rekeningen API van Informat antwoordde niet op tijd. Probeer later opnieuw.")
+        except Exception as e:
+            raise FacturatieFout(f"De Rekeningen API van Informat is niet bereikbaar: {e}")
+        if r.status_code == 429:
+            raise FacturatieFout("Informat meldt te veel aanvragen (429). Probeer over een minuut opnieuw.")
+        if r.status_code in (401, 403):
+            raise FacturatieFout(f"Informat weigert de toegang tot de rekeningen ({r.status_code}).")
+        if not r.text.strip():
+            return {}
+        try:
+            js = r.json()
+        except Exception:
+            raise FacturatieFout(f"Onverwacht antwoord van de Rekeningen API (HTTP {r.status_code}): {r.text[:200]}")
+        if js.get('errors'):
+            raise FacturatieFout("Rekeningen API: " + '; '.join(str(e.get('message', e)) for e in js['errors'])[:400])
+        return js.get('data') or {}
+
+    def groepen(self, schooljaar):
+        """Factuurgroepen van type STUDENT: [{scope, toegangsgroep, id, naam}]."""
+        uit = []
+        for scope, ag in self.scopes():
+            data = self._gql(scope, Q_GROEPEN, {'schoolYear': schooljaar, 'accessGroupIdentifier': ag})
+            for g in ((data.get('accessGroup') or {}).get('invoiceGroups') or []):
+                if str(g.get('invoiceGroupType') or '').upper() == 'STUDENT':
+                    uit.append({'scope': scope, 'toegangsgroep': ag, 'id': g.get('id'), 'naam': g.get('name') or f"Groep {g.get('id')}"})
+        uit.sort(key=lambda g: str(g['naam']).lower())
+        return uit
+
+    def facturen(self, schooljaar, vernieuw=False):
+        """(facturen, groepen, opgehaald) voor alle leerlingen-factuurgroepen van het schooljaar."""
+        sleutel = ('facturen', schooljaar)
+        bewaard = self.school.cache.get(sleutel)
+        if bewaard and not vernieuw and time.time() - bewaard[0] < CACHE_SECONDEN:
+            return bewaard[1], bewaard[2], bewaard[0]
+        groepen = self.groepen(schooljaar)
+        rijen = []
+        for g in groepen:
+            data = self._gql(g['scope'], Q_FACTUREN, {'schoolYear': schooljaar, 'accessGroupIdentifier': g['toegangsgroep'],
+                                                      'invoiceGroupId': g['id']})
+            for grp in ((data.get('accessGroup') or {}).get('invoiceGroups') or []):
+                for f in grp.get('invoices') or []:
+                    ont = f.get('recipient') or {}
+                    rij = {
+                        'id': f.get('invoiceId'),
+                        'toegangsgroep': g['toegangsgroep'],
+                        'groep_id': g['id'], 'groep': g['naam'],
+                        'type': str(f.get('invoiceType') or 'INVOICE').upper(),
+                        'datum': _datum(f.get('printDate')), 'vervaldag': _datum(f.get('dueDate')),
+                        'totaal': _bedrag(f.get('total')), 'betaald': _bedrag(f.get('paid')), 'open': _bedrag(f.get('open')),
+                        'ogm': f.get('paymentReference') or '',
+                        'ogm_factuur': f.get('paymentReferenceInvoice') or '',   # bij een creditnota: die van de factuur
+                        'klas': ont.get('class') or '', 'klasnummer': ont.get('classNumber'),
+                        'voornaam': (ont.get('firstName') or '').strip(), 'naam': (ont.get('lastName') or '').strip(),
+                        'stamnummer': ont.get('stamNumber') or '', 'leerling_id': ont.get('databaseId'),
+                    }
+                    rij['status'] = status_van(rij)
+                    rij['teken'] = -1 if rij['type'] == 'CREDIT_NOTE' else 1    # creditnota's: positief bedrag in Informat
+                    rijen.append(rij)
+        rijen.sort(key=lambda r: (r['naam'].lower(), r['voornaam'].lower(), r['datum'] or date.min))
+        nu = time.time()
+        self.school.cache[sleutel] = (nu, rijen, groepen)
+        return rijen, groepen, nu
+
+    # ---------------- PDF ----------------
+    def pdf(self, toegangsgroep, invoice_id, pogingen=8):
+        """De PDF van één factuur (bytes), via .../download/{accessGroupIdentifier}/{invoiceId}/pdf.
+        Bestaat die nog niet (Informat antwoordt dan 400), dan eerst .../create/... (202) en even wachten."""
+        scope = next((sc for sc, ag in self.scopes() if ag == toegangsgroep), None)
+        if not scope:
+            raise FacturatieFout("Onbekende toegangsgroep voor deze factuur.")
+        auth = {'Authorization': f"BEARER {self._token(scope)}"}
+        download = f"{self.base}/download/{toegangsgroep}/{invoice_id}/pdf"
+        aanmaken = f"{self.base}/create/{toegangsgroep}/{invoice_id}/pdf"
+        aangevraagd = False
+        for poging in range(pogingen + 1):
+            r = requests.get(download, headers=auth, timeout=TIMEOUT)
+            if r.status_code == 200 and r.content:
+                return r.content
+            if r.status_code not in (400, 404):
+                raise FacturatieFout(f"De PDF kon niet opgehaald worden (HTTP {r.status_code}).")
+            if not aangevraagd:
+                c = requests.post(aanmaken, headers=auth, timeout=TIMEOUT)
+                if c.status_code == 405:
+                    c = requests.get(aanmaken, headers=auth, timeout=TIMEOUT)
+                if c.status_code not in (200, 201, 202, 204):
+                    raise FacturatieFout(f"Informat kon de PDF niet aanmaken (HTTP {c.status_code}). Controleer of het "
+                                         "factuuradres van deze factuur een titel en naam heeft.")
+                aangevraagd = True
+            if poging < pogingen:
+                time.sleep(3)
+        raise FacturatieFout("Informat is de PDF nog aan het aanmaken (dat kan tot 2 minuten duren). "
+                             "Probeer zo dadelijk opnieuw.")
diff --git a/services/gedeelde_drives_service.py b/services/gedeelde_drives_service.py
new file mode 100644
index 0000000..27022ee
--- /dev/null
+++ b/services/gedeelde_drives_service.py
@@ -0,0 +1,280 @@
+"""
+Google › Gedeelde drives: alle gedeelde drives van het domein, wie er rechten op heeft, en leden beheren.
+
+Google Drive API v3 namens de beheerder (domeinbrede delegatie), met useDomainAdminAccess=True zodat ook drives
+zichtbaar zijn waar de beheerder zelf geen lid van is:
+  drives.list / drives.create
+  permissions.list / create / update / delete   (supportsAllDrives=True)
+Vereist: https://www.googleapis.com/auth/drive  (en de Google Drive API aan in het Cloud-project).
+"""
+import threading
+import time
+import uuid
+from concurrent.futures import ThreadPoolExecutor
+from datetime import datetime
+
+from config import Config
+from tenancy import google_credentials, huidige_school, in_school
+
+SCOPE = 'https://www.googleapis.com/auth/drive'
+CACHE_SECONDEN = 10 * 60
+ROLLEN = [('organizer', 'Beheerder'), ('fileOrganizer', 'Inhoudsbeheerder'), ('writer', 'Bijdrager'),
+          ('commenter', 'Reageerder'), ('reader', 'Lezer')]
+ROL_NAAM = dict(ROLLEN)
+PERM_VELDEN = 'nextPageToken,permissions(id,type,role,emailAddress,domain,displayName,deleted)'
+
+
+class DriveFout(Exception):
+    pass
+
+
+def vriendelijk(e):
+    t = str(e)
+    laag = t.lower()
+    if 'unauthorized_client' in laag or 'access_denied' in laag:
+        return ("Google weigert de toegang: voeg in de Admin-console › Beveiliging › API-beheer › Domeinbrede delegatie "
+                f"het bereik {SCOPE} toe bij het serviceaccount van PIVOT.")
+    if 'has not been used' in laag or 'is disabled' in laag or 'accessnotconfigured' in laag:
+        return "De Google Drive API staat niet aan in het Google Cloud-project van het serviceaccount."
+    if 'insufficientadministratorprivileges' in laag or 'domain administrator' in laag:
+        return "De beheerder (Koppelingen › Algemeen) heeft geen beheerdersrechten voor Drive in het Admin-console."
+    if 'cannotremovelastorganizer' in laag or 'last organizer' in laag:
+        return "Dit is de laatste beheerder van de drive; voeg eerst een andere beheerder toe."
+    if 'invalidsharingrequest' in laag or 'shareoutnotpermitted' in laag or 'sharingrateLimitExceeded'.lower() in laag:
+        return "Google laat dit delen niet toe (bv. delen buiten het domein staat uit voor deze drive of organisatie)."
+    if 'notfound' in laag.replace(' ', '') or ' 404' in t:
+        return "Niet gevonden (bestaat de drive, de gebruiker of de groep nog?)."
+    return t[:300]
+
+
+def _drive():
+    from googleapiclient.discovery import build
+    creds = google_credentials([SCOPE], subject=Config.GOOGLE_ADMIN_EMAIL)
+    try:
+        return build('drive', 'v3', credentials=creds, static_discovery=True, cache_discovery=False)
+    except Exception:
+        return build('drive', 'v3', credentials=creds, static_discovery=False, cache_discovery=False)
+
+
+def _eigen_domeinen():
+    s = huidige_school()
+    d = {x.lower() for x in (getattr(s, 'domeinen', None) or [s.domein]) if x}
+    if Config.GOOGLE_ADMIN_EMAIL:
+        d.add(Config.GOOGLE_ADMIN_EMAIL.lower().partition('@')[2])
+    return d
+
+
+def _is_extern(p, domeinen):
+    if p.get('type') == 'anyone':
+        return True
+    if p.get('type') == 'domain':
+        return (p.get('domain') or '').lower() not in domeinen
+    mail = (p.get('emailAddress') or '').lower()
+    return bool(mail) and mail.partition('@')[2] not in domeinen
+
+
+def _leden(svc, drive_id):
+    uit, token = [], None
+    while True:
+        resp = svc.permissions().list(fileId=drive_id, supportsAllDrives=True, useDomainAdminAccess=True,
+                                      pageSize=100, pageToken=token, fields=PERM_VELDEN).execute()
+        uit += resp.get('permissions', [])
+        token = resp.get('nextPageToken')
+        if not token:
+            return uit
+
+
+def _samenvatting(d, leden, domeinen):
+    return {'id': d['id'], 'naam': d.get('name', ''), 'aangemaakt': (d.get('createdTime') or '')[:10],
+            'verborgen': bool(d.get('hidden')), 'leden': len(leden),
+            'beheerders': sum(1 for p in leden if p.get('role') == 'organizer'),
+            'extern': sum(1 for p in leden if _is_extern(p, domeinen)),
+            'groepen': sum(1 for p in leden if p.get('type') == 'group'),
+            'fout': None}
+
+
+def overzicht(vernieuw=False):
+    """[{id, naam, aangemaakt, leden, beheerders, extern, groepen, verborgen, fout}] gesorteerd op naam."""
+    school = huidige_school()
+    bewaard = school.cache.get('gedeelde_drives')
+    if bewaard and not vernieuw and time.time() - bewaard[0] < CACHE_SECONDEN:
+        return bewaard[1], bewaard[0]
+    try:
+        svc = _drive()
+        drives, token = [], None
+        while True:
+            resp = svc.drives().list(useDomainAdminAccess=True, pageSize=100, pageToken=token,
+                                     fields='nextPageToken,drives(id,name,createdTime,hidden)').execute()
+            drives += resp.get('drives', [])
+            token = resp.get('nextPageToken')
+            if not token:
+                break
+    except Exception as e:
+        raise DriveFout(vriendelijk(e))
+    domeinen = _eigen_domeinen()
+    lokaal = threading.local()
+    alle_leden = {}
+
+    def info(d):
+        with in_school(school):
+            if not hasattr(lokaal, 'svc'):
+                lokaal.svc = _drive()
+            try:
+                leden = _leden(lokaal.svc, d['id'])
+                alle_leden[d['id']] = leden
+                return _samenvatting(d, leden, domeinen)
+            except Exception as e:
+                r = _samenvatting(d, [], domeinen)
+                r['fout'] = vriendelijk(e)
+                return r
+
+    with ThreadPoolExecutor(max_workers=6) as pool:
+        uit = list(pool.map(info, drives))
+    uit.sort(key=lambda d: d['naam'].lower())
+    nu = time.time()
+    school.cache['gedeelde_drives'] = (nu, uit)
+    school.cache['gedeelde_drives_leden'] = alle_leden
+    return uit, nu
+
+
+def _vergeet():
+    huidige_school().cache.pop('gedeelde_drives', None)
+
+
+def drive(drive_id):
+    """(drive-info, leden) van één drive. Leden gesorteerd: beheerders eerst, dan op naam."""
+    svc = _drive()
+    try:
+        d = svc.drives().get(driveId=drive_id, useDomainAdminAccess=True, fields='id,name,createdTime,hidden').execute()
+        leden = _leden(svc, drive_id)
+    except Exception as e:
+        raise DriveFout(vriendelijk(e))
+    domeinen = _eigen_domeinen()
+    volgorde = {r: i for i, (r, _) in enumerate(ROLLEN)}
+    rijen = [{'id': p['id'], 'type': p.get('type'), 'rol': p.get('role'), 'rol_naam': ROL_NAAM.get(p.get('role'), p.get('role')),
+              'email': p.get('emailAddress') or (p.get('domain') if p.get('type') == 'domain' else ''),
+              'naam': p.get('displayName') or '', 'extern': _is_extern(p, domeinen), 'verwijderd': bool(p.get('deleted'))}
+             for p in leden]
+    rijen.sort(key=lambda r: (volgorde.get(r['rol'], 9), (r['naam'] or r['email']).lower()))
+    return _samenvatting(d, leden, domeinen), rijen
+
+
+def _soort(email):
+    """'group' als het adres een Google-groep is, anders 'user'."""
+    try:
+        from googleapiclient.discovery import build
+        creds = google_credentials(Config.GOOGLE_API_SCOPES, subject=Config.GOOGLE_ADMIN_EMAIL)
+        build('admin', 'directory_v1', credentials=creds, static_discovery=False, cache_discovery=False) \
+            .groups().get(groupKey=email, fields='id').execute()
+        return 'group'
+    except Exception:
+        return 'user'
+
+
+def lid_toevoegen(drive_id, email, rol, melding=False):
+    email = (email or '').strip().lower()
+    if '@' not in email:
+        raise DriveFout("Geef een geldig e-mailadres (persoon of groep).")
+    if rol not in ROL_NAAM:
+        raise DriveFout("Onbekende rol.")
+    try:
+        _drive().permissions().create(fileId=drive_id, supportsAllDrives=True, useDomainAdminAccess=True,
+                                      sendNotificationEmail=bool(melding), fields='id',
+                                      body={'type': _soort(email), 'role': rol, 'emailAddress': email}).execute()
+    except Exception as e:
+        raise DriveFout(vriendelijk(e))
+    _vergeet()
+
+
+def lid_wijzigen(drive_id, perm_id, rol):
+    if rol not in ROL_NAAM:
+        raise DriveFout("Onbekende rol.")
+    try:
+        _drive().permissions().update(fileId=drive_id, permissionId=perm_id, supportsAllDrives=True,
+                                      useDomainAdminAccess=True, body={'role': rol}, fields='id').execute()
+    except Exception as e:
+        raise DriveFout(vriendelijk(e))
+    _vergeet()
+
+
+def lid_verwijderen(drive_id, perm_id):
+    try:
+        _drive().permissions().delete(fileId=drive_id, permissionId=perm_id, supportsAllDrives=True,
+                                      useDomainAdminAccess=True).execute()
+    except Exception as e:
+        raise DriveFout(vriendelijk(e))
+    _vergeet()
+
+
+def drive_maken(naam, beheerder=None):
+    """Nieuwe gedeelde drive (de PIVOT-beheerder wordt eerst beheerder); optioneel meteen een andere beheerder."""
+    naam = (naam or '').strip()
+    if not naam:
+        raise DriveFout("Geef de drive een naam.")
+    try:
+        d = _drive().drives().create(requestId=str(uuid.uuid4()), body={'name': naam[:100]}, fields='id,name').execute()
+    except Exception as e:
+        raise DriveFout(vriendelijk(e))
+    _vergeet()
+    if beheerder:
+        lid_toevoegen(d['id'], beheerder, 'organizer')
+    return d['id']
+
+
+# ---------------------------------------------------------------------
+# Een gebruiker op alle gedeelde drives vervangen door een andere
+# ---------------------------------------------------------------------
+def drives_van(email, vernieuw=True):
+    """Alle gedeelde drives waar `email` lid van is: [{drive, naam, perm, rol, rol_naam}] (vers opgehaald)."""
+    email = (email or '').strip().lower()
+    drives, _ = overzicht(vernieuw=vernieuw)
+    leden = huidige_school().cache.get('gedeelde_drives_leden') or {}
+    uit = []
+    for d in drives:
+        for p in leden.get(d['id'], []):
+            adres = (p.get('emailAddress') or '').lower()
+            # Met een @: exact dat adres; zonder @: een deel van het adres of de naam (bv. 'peeters')
+            if adres == email or ('@' not in email and email and
+                                  (email in adres or email in (p.get('displayName') or '').lower())):
+                uit.append({'drive': d['id'], 'naam': d['naam'], 'perm': p['id'], 'rol': p.get('role'),
+                            'rol_naam': ROL_NAAM.get(p.get('role'), p.get('role')), 'email': adres,
+                            'wie': p.get('displayName') or adres})
+    return uit
+
+
+def vervang(oud, nieuw, drive_ids, oud_verwijderen=True, melding=False):
+    """Op elke gekozen drive: `nieuw` krijgt exact de rol van `oud` (ook als hij al lid was), daarna wordt `oud`
+    verwijderd (optioneel). Geeft [{naam, ok, melding}]."""
+    oud, nieuw = (oud or '').strip().lower(), (nieuw or '').strip().lower()
+    if '@' not in nieuw:
+        raise DriveFout("Geef een geldig e-mailadres voor de nieuwe gebruiker.")
+    if oud == nieuw:
+        raise DriveFout("De oude en de nieuwe gebruiker zijn dezelfde.")
+    svc, soort, uit = _drive(), _soort(nieuw), []
+    kies = set(drive_ids)
+    for t in drives_van(oud, vernieuw=False):
+        if t['drive'] not in kies:
+            continue
+        try:
+            leden = _leden(svc, t['drive'])
+            bestaand = next((p for p in leden if (p.get('emailAddress') or '').lower() == nieuw), None)
+            if bestaand is None:
+                svc.permissions().create(fileId=t['drive'], supportsAllDrives=True, useDomainAdminAccess=True,
+                                         sendNotificationEmail=bool(melding), fields='id',
+                                         body={'type': soort, 'role': t['rol'], 'emailAddress': nieuw}).execute()
+                tekst = f"{nieuw} toegevoegd als {t['rol_naam']}"
+            elif bestaand.get('role') != t['rol']:      # altijd exact dezelfde rechten als de oude gebruiker
+                svc.permissions().update(fileId=t['drive'], permissionId=bestaand['id'], supportsAllDrives=True,
+                                         useDomainAdminAccess=True, body={'role': t['rol']}, fields='id').execute()
+                tekst = f"{nieuw} was al lid, nu {t['rol_naam']}"
+            else:
+                tekst = f"{nieuw} was al lid ({ROL_NAAM.get(bestaand.get('role'))})"
+            if oud_verwijderen:
+                svc.permissions().delete(fileId=t['drive'], permissionId=t['perm'], supportsAllDrives=True,
+                                         useDomainAdminAccess=True).execute()
+                tekst += f", {oud} verwijderd"
+            uit.append({'naam': t['naam'], 'ok': True, 'melding': tekst})
+        except Exception as e:
+            uit.append({'naam': t['naam'], 'ok': False, 'melding': vriendelijk(e)})
+    _vergeet()
+    return uit
diff --git a/services/gmail_delegatie_overzicht.py b/services/gmail_delegatie_overzicht.py
new file mode 100644
index 0000000..1c732c3
--- /dev/null
+++ b/services/gmail_delegatie_overzicht.py
@@ -0,0 +1,169 @@
+"""
+Overzicht van alle lopende e-mailmachtigingen (Gmail-delegaties) van de school.
+
+Google heeft geen lijst "alle delegaties van het domein": je kan ze enkel per mailbox opvragen
+(users.settings.delegates.list, in naam van de eigenaar). Daarom loopt er een achtergrondtaak die
+alle actieve (niet-geschorste) gebruikers afgaat, met een paar parallelle verzoeken.
+Het resultaat komt in de tabel gmail_delegaties en wordt:
+  - volledig vernieuwd met de knop op de pagina, of vanzelf als het ouder is dan VERVERS_UREN;
+  - meteen bijgewerkt als in PIVOT een machtiging toegevoegd of ingetrokken wordt, of als je een mailbox opent.
+"""
+import sys
+import threading
+from concurrent.futures import ThreadPoolExecutor
+from datetime import datetime
+
+from database import execute_query
+from tenancy import school_singleton, met_school, huidige_school, in_school
+
+VERVERS_UREN = 24
+PARALLEL = 8
+
+
+class DelegatieOverzicht:
+    def __new__(cls):
+        def init(inst):
+            inst._lock = threading.Lock()
+            inst.status = {'bezig': False, 'voortgang': 0, 'totaal': 0, 'fout': None, 'resultaat': None}
+        return school_singleton(cls, init)
+
+    @staticmethod
+    def ensure_table():
+        execute_query("""
+            CREATE TABLE IF NOT EXISTS gmail_delegaties (
+                Mailbox           VARCHAR(255) NOT NULL,
+                Mailbox_naam      VARCHAR(255) NULL,
+                Gedelegeerde      VARCHAR(255) NOT NULL,
+                Gedelegeerde_naam VARCHAR(255) NULL,
+                Status            VARCHAR(20)  NULL,
+                Opgehaald         DATETIME     NOT NULL,
+                PRIMARY KEY (Mailbox, Gedelegeerde),
+                KEY idx_gmail_deleg_gedelegeerde (Gedelegeerde)
+            ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci""", commit=True)
+        execute_query("CREATE TABLE IF NOT EXISTS gmail_delegaties_scan (ID TINYINT NOT NULL PRIMARY KEY, "
+                      "Opgehaald DATETIME NULL, Mailboxen INT NULL, Fouten INT NULL) ENGINE=InnoDB", commit=True)
+
+    # ---------------- opvragen ----------------
+    def alle(self):
+        return execute_query("SELECT * FROM gmail_delegaties ORDER BY Mailbox, Gedelegeerde") or []
+
+    def laatst_opgehaald(self):
+        rij = execute_query("SELECT Opgehaald, Mailboxen, Fouten FROM gmail_delegaties_scan WHERE ID = 1")
+        return rij[0] if rij else None
+
+    def verouderd(self):
+        laatst = self.laatst_opgehaald()
+        return not laatst or not laatst['Opgehaald'] or \
+            (datetime.now() - laatst['Opgehaald']).total_seconds() > VERVERS_UREN * 3600
+
+    # ---------------- één mailbox bijwerken (na toevoegen/intrekken/openen in PIVOT) ----------------
+    def bewaar_mailbox(self, mailbox, naam, delegates, namen=None):
+        """Vervangt de rijen van één mailbox door de opgegeven gedelegeerden [{'email','status'}]."""
+        try:
+            self.ensure_table()
+            # Namen die we al kennen (uit de volledige ophaling) behouden
+            bekend = {}
+            for r in execute_query("SELECT Mailbox, Mailbox_naam, Gedelegeerde, Gedelegeerde_naam FROM gmail_delegaties") or []:
+                if r['Mailbox_naam']:
+                    bekend[r['Mailbox'].lower()] = r['Mailbox_naam']
+                if r['Gedelegeerde_naam']:
+                    bekend[r['Gedelegeerde'].lower()] = r['Gedelegeerde_naam']
+            namen = {**bekend, **(namen or {})}
+            execute_query("DELETE FROM gmail_delegaties WHERE Mailbox = %s", (mailbox,), commit=True)
+            for d in delegates:
+                execute_query("INSERT INTO gmail_delegaties (Mailbox, Mailbox_naam, Gedelegeerde, Gedelegeerde_naam, "
+                              "Status, Opgehaald) VALUES (%s, %s, %s, %s, %s, NOW())",
+                              (mailbox, naam, d['email'], namen.get(d['email'].lower()) or d.get('naam'),
+                               d.get('status')), commit=True)
+        except Exception as e:
+            sys.stderr.write(f"Delegaties: mailbox {mailbox} niet bewaard: {e}\n")
+
+    # ---------------- alles ophalen uit Google ----------------
+    def _gebruikers(self, directory):
+        uit, token = [], None
+        while True:
+            resp = directory.users().list(customer='my_customer', maxResults=500, pageToken=token,
+                                          fields='nextPageToken,users(primaryEmail,name/fullName,suspended)').execute()
+            for u in resp.get('users', []):
+                uit.append({'email': u['primaryEmail'].lower(), 'naam': (u.get('name') or {}).get('fullName', ''),
+                            'geschorst': bool(u.get('suspended'))})
+            token = resp.get('nextPageToken')
+            if not token:
+                return uit
+
+    def sync(self):
+        if not self._lock.acquire(blocking=False):
+            return False, "Er loopt al een ophaling."
+        try:
+            from services.gmail_delegation_service import GmailDelegationService, DelegationError
+            self.status.update(bezig=True, voortgang=0, totaal=0, fout=None, resultaat=None)
+            self.ensure_table()
+            svc = GmailDelegationService()
+            gebruikers = self._gebruikers(svc._directory_api())
+            namen = {u['email']: u['naam'] for u in gebruikers}
+            actief = [u for u in gebruikers if not u['geschorst']]
+            self.status['totaal'] = len(actief)
+            school = huidige_school()
+            fouten, rechtenfout, gelukt = [], [], []
+
+            def een(u):
+                # Krijgt Google telkens dezelfde rechtenfout, dan niet alle gebruikers blijven proberen
+                if len(rechtenfout) >= 3 and not gelukt:
+                    self.status['voortgang'] += 1
+                    return u, None
+                with in_school(school):
+                    try:
+                        delegates = svc.list_delegates(u['email'])
+                        gelukt.append(1)
+                        return u, delegates
+                    except DelegationError as e:
+                        tekst = str(e)
+                        if 'serviceaccount mist een Gmail-recht' in tekst or 'Gmail API staat nog niet aan' in tekst:
+                            rechtenfout.append(tekst)
+                        fouten.append(u['email'])
+                        return u, None
+                    except Exception:
+                        fouten.append(u['email'])
+                        return u, None
+                    finally:
+                        self.status['voortgang'] += 1
+
+            resultaten = []
+            with ThreadPoolExecutor(max_workers=PARALLEL) as pool:
+                for u, delegates in pool.map(een, actief):
+                    if delegates:
+                        resultaten.append((u, delegates))
+            if rechtenfout and not gelukt:
+                raise RuntimeError(rechtenfout[0])
+
+            nu = datetime.now()
+            execute_query("DELETE FROM gmail_delegaties", commit=True)
+            aantal = 0
+            for u, delegates in resultaten:
+                for d in delegates:
+                    execute_query("INSERT INTO gmail_delegaties (Mailbox, Mailbox_naam, Gedelegeerde, Gedelegeerde_naam, "
+                                  "Status, Opgehaald) VALUES (%s, %s, %s, %s, %s, %s)",
+                                  (u['email'], u['naam'], d['email'], namen.get(d['email'].lower()), d['status'], nu),
+                                  commit=True)
+                    aantal += 1
+            execute_query("INSERT INTO gmail_delegaties_scan (ID, Opgehaald, Mailboxen, Fouten) VALUES (1, %s, %s, %s) "
+                          "ON DUPLICATE KEY UPDATE Opgehaald = VALUES(Opgehaald), Mailboxen = VALUES(Mailboxen), "
+                          "Fouten = VALUES(Fouten)", (nu, len(actief), len(fouten)), commit=True)
+            msg = f"{len(actief)} mailboxen nagekeken: {aantal} machtiging(en) bij {len(resultaten)} mailbox(en)."
+            if fouten:
+                msg += f" {len(fouten)} mailbox(en) konden niet bevraagd worden (bv. zonder Gmail-licentie)."
+            self.status['resultaat'] = msg
+            return True, msg
+        except Exception as e:
+            self.status['fout'] = str(e)
+            return False, f"Ophalen mislukt: {e}"
+        finally:
+            self.status['bezig'] = False
+            self._lock.release()
+
+    def sync_op_achtergrond(self):
+        if self.status['bezig']:
+            return False
+        self.status.update(bezig=True, voortgang=0, totaal=0, fout=None)
+        threading.Thread(target=met_school(self.sync), daemon=True).start()
+        return True
diff --git a/services/gmail_delegation_service.py b/services/gmail_delegation_service.py
new file mode 100644
index 0000000..467f4d3
--- /dev/null
+++ b/services/gmail_delegation_service.py
@@ -0,0 +1,199 @@
+"""
+Gmail-delegatie: andere gebruikers toegang geven tot een mailbox.
+
+Werkt via de Gmail API (users.settings.delegates). Het service-account handelt
+in naam van de EIGENAAR van de mailbox (de delegator).
+
+Vereist (eenmalig):
+  1. Admin-console › Beveiliging › API-beheer › Domeinbrede delegatie:
+     scope toevoegen aan het service-account:
+         https://www.googleapis.com/auth/gmail.settings.sharing
+  2. Admin-console › Apps › Google Workspace › Gmail › Gebruikersinstellingen:
+     'E-maildelegatie' inschakelen voor de betrokken organisatie-eenheden.
+
+Beperkingen van Google:
+  - de gedelegeerde moet in dezelfde Google Workspace-organisatie zitten
+  - max. 25 gedelegeerden per mailbox, max. 10 mailboxen per gedelegeerde
+  - het kan tot 1 minuut duren voor de toegang actief is
+"""
+import sys
+from googleapiclient.discovery import build
+from googleapiclient.errors import HttpError
+from config import Config
+from database import execute_query
+from tenancy import google_credentials
+
+# Toevoegen/verwijderen van gedelegeerden: gmail.settings.sharing.
+# Opvragen (delegates.list/get): gmail.settings.basic (sharing volstaat daar NIET).
+GMAIL_SCOPE = 'https://www.googleapis.com/auth/gmail.settings.sharing'
+GMAIL_LEES_SCOPE = 'https://www.googleapis.com/auth/gmail.settings.basic'
+MAX_DELEGATES = 25
+
+STATUS_LABELS = {
+    'accepted': 'Actief',
+    'pending': 'In afwachting',
+    'rejected': 'Geweigerd',
+    'expired': 'Verlopen',
+}
+
+
+class DelegationError(Exception):
+    pass
+
+
+class GmailDelegationService:
+    def __init__(self, directory_service=None):
+        # Bestaande Directory-client hergebruiken om adressen/aliassen op te zoeken
+        self._directory = directory_service
+
+    # ---------- clients ----------
+    def _gmail_for(self, mailbox, scope=GMAIL_SCOPE):
+        creds = google_credentials([scope], subject=mailbox)
+        try:    # meegeleverde API-beschrijving: geen extra verzoek naar Google per mailbox
+            return build('gmail', 'v1', credentials=creds, static_discovery=True, cache_discovery=False)
+        except Exception:
+            return build('gmail', 'v1', credentials=creds, static_discovery=False, cache_discovery=False)
+
+    def _directory_api(self):
+        if self._directory is None:
+            from services.google_service import GoogleAdminService
+            self._directory = GoogleAdminService().service
+        return self._directory
+
+    # ---------- hulpfuncties ----------
+    @staticmethod
+    def _friendly_error(e, mailbox=None, delegate=None):
+        msg = str(e)
+        status = getattr(getattr(e, 'resp', None), 'status', None)
+        if 'unauthorized_client' in msg or 'access_denied' in msg or 'insufficient authentication scopes' in msg.lower():
+            return ("Google weigert de toegang: het serviceaccount mist een Gmail-recht. Voeg in admin.google.com › "
+                    "Beveiliging › Toegangs- en gegevensbeheer › API-beheer › Domeinbrede delegatie bij het serviceaccount "
+                    f"deze twee bereiken toe: {GMAIL_LEES_SCOPE} en {GMAIL_SCOPE}. Het kan enkele minuten duren voor dit werkt.")
+        if status == 409:
+            return f"{delegate} heeft al toegang tot {mailbox}."
+        laag = msg.lower()
+        reden = msg.split('returned', 1)[-1].strip(' ">')[:200] if 'returned' in msg else msg[:200]
+        if 'has not been used' in laag or 'is disabled' in laag or 'accessnotconfigured' in laag:
+            return ("De Gmail API staat nog niet aan in het Google Cloud-project van het serviceaccount "
+                    "(console.cloud.google.com › API's en services › Bibliotheek › Gmail API › Inschakelen). "
+                    f"Google: {reden}")
+        if 'mail service not enabled' in laag or 'failedprecondition' in laag or 'precondition' in laag:
+            return (f"{mailbox or 'Deze gebruiker'} heeft (nog) geen werkende Gmail-mailbox: controleer of Gmail aanstaat "
+                    "en of de gebruiker een licentie heeft. Een net aangemaakt account kan tot 24 uur nodig hebben. "
+                    f"Google: {reden}")
+        if 'delegation denied' in laag or 'not allowed' in laag or 'delegation is not allowed' in laag:
+            return ("Delegatie is niet toegestaan voor deze gebruiker. Controleer of 'E-maildelegatie' aanstaat "
+                    "(Admin-console › Apps › Google Workspace › Gmail › Gebruikersinstellingen) voor de OU van de "
+                    "mailbox én van de gedelegeerde. Een gewijzigde instelling kan tot 24 uur nodig hebben. "
+                    f"Google: {reden}")
+        if status == 403:
+            return f"Google weigert deze actie (403). Google: {reden}"
+        if status == 400 and 'limit' in msg.lower():
+            return "Limiet bereikt: max. 25 gedelegeerden per mailbox en max. 10 mailboxen per gedelegeerde."
+        if status == 400:
+            return f"Google weigert deze delegatie: {getattr(e, 'reason', '') or msg}"
+        if status == 404:
+            return "Gebruiker of delegatie niet gevonden."
+        return msg
+
+    def resolve_user(self, email):
+        """Zoekt de gebruiker op in Google en geeft het PRIMAIRE adres terug (aliassen werken niet bij delegatie)."""
+        email = (email or '').strip().lower()
+        if not email or '@' not in email:
+            raise DelegationError("Geef een volledig e-mailadres op.")
+        try:
+            u = self._directory_api().users().get(userKey=email).execute()
+        except HttpError as e:
+            if getattr(e.resp, 'status', None) == 404:
+                raise DelegationError(f"{email} bestaat niet in jullie Google Workspace. "
+                                      "Delegeren naar externe (bv. @gmail.com) adressen kan niet.")
+            raise DelegationError(self._friendly_error(e))
+        return {
+            'email': u['primaryEmail'].lower(),
+            'naam': (u.get('name') or {}).get('fullName', ''),
+            'ou': u.get('orgUnitPath', ''),
+            'geschorst': bool(u.get('suspended')),
+            'is_alias': u['primaryEmail'].lower() != email,
+        }
+
+    def search_users(self, query):
+        """Gebruikers zoeken op naam of adres (voor de zoekbox)."""
+        q = query.strip()
+        try:
+            resp = self._directory_api().users().list(
+                customer='my_customer', query=q, maxResults=15, orderBy='email').execute()
+        except Exception as e:
+            sys.stderr.write(f"Zoeken mislukt: {e}\n")
+            return []
+        return [{'email': u['primaryEmail'], 'naam': (u.get('name') or {}).get('fullName', ''),
+                 'ou': u.get('orgUnitPath', '')} for u in resp.get('users', [])]
+
+    # ---------- delegaties ----------
+    def list_delegates(self, mailbox):
+        try:
+            resp = self._gmail_for(mailbox, GMAIL_LEES_SCOPE).users().settings().delegates().list(userId='me').execute()
+        except HttpError as e:
+            raise DelegationError(self._friendly_error(e, mailbox))
+        except Exception as e:
+            raise DelegationError(self._friendly_error(e, mailbox))
+        result = []
+        for d in resp.get('delegates', []):
+            status = d.get('verificationStatus', '')
+            result.append({'email': d.get('delegateEmail', ''),
+                           'status': status,
+                           'status_label': STATUS_LABELS.get(status, status)})
+        result.sort(key=lambda d: d['email'])
+        return result
+
+    def add_delegate(self, mailbox, delegate):
+        if mailbox == delegate:
+            raise DelegationError("Een mailbox kan niet aan zichzelf gedelegeerd worden.")
+        try:
+            self._gmail_for(mailbox).users().settings().delegates().create(
+                userId='me', body={'delegateEmail': delegate}).execute()
+        except HttpError as e:
+            raise DelegationError(self._friendly_error(e, mailbox, delegate))
+        except Exception as e:
+            raise DelegationError(self._friendly_error(e, mailbox, delegate))
+
+    def remove_delegate(self, mailbox, delegate):
+        try:
+            self._gmail_for(mailbox).users().settings().delegates().delete(
+                userId='me', delegateEmail=delegate).execute()
+        except HttpError as e:
+            raise DelegationError(self._friendly_error(e, mailbox, delegate))
+        except Exception as e:
+            raise DelegationError(self._friendly_error(e, mailbox, delegate))
+
+    # ---------- logboek ----------
+    @staticmethod
+    def ensure_table():
+        execute_query("""
+            CREATE TABLE IF NOT EXISTS gmail_delegatie_log (
+                ID          INT AUTO_INCREMENT PRIMARY KEY,
+                Tijdstip    DATETIME     NOT NULL,
+                Gebruiker   VARCHAR(100) NULL,
+                Actie       VARCHAR(20)  NOT NULL,
+                Mailbox     VARCHAR(255) NOT NULL,
+                Gedelegeerde VARCHAR(255) NOT NULL,
+                INDEX idx_mailbox (Mailbox),
+                INDEX idx_tijdstip (Tijdstip)
+            )""", commit=True)
+
+    @staticmethod
+    def log(gebruiker, actie, mailbox, gedelegeerde):
+        execute_query(
+            "INSERT INTO gmail_delegatie_log (Tijdstip, Gebruiker, Actie, Mailbox, Gedelegeerde) "
+            "VALUES (NOW(), %s, %s, %s, %s)",
+            (gebruiker, actie, mailbox, gedelegeerde), commit=True)
+
+    @staticmethod
+    def history(mailbox=None, limit=25):
+        if mailbox:
+            return execute_query(
+                "SELECT Tijdstip, Gebruiker, Actie, Mailbox, Gedelegeerde FROM gmail_delegatie_log "
+                "WHERE Mailbox = %s OR Gedelegeerde = %s ORDER BY Tijdstip DESC LIMIT %s",
+                (mailbox, mailbox, int(limit)))
+        return execute_query(
+            "SELECT Tijdstip, Gebruiker, Actie, Mailbox, Gedelegeerde FROM gmail_delegatie_log "
+            "ORDER BY Tijdstip DESC LIMIT %s", (int(limit),))
diff --git a/services/gmail_label_service.py b/services/gmail_label_service.py
new file mode 100644
index 0000000..046622e
--- /dev/null
+++ b/services/gmail_label_service.py
@@ -0,0 +1,237 @@
+"""
+Google › E-mails met een label verplaatsen: alle berichten met een bepaald label uit een mailbox kopiëren of
+verplaatsen naar een andere mailbox van dezelfde Google Workspace.
+
+Werking (Gmail API, het serviceaccount werkt in naam van de mailbox via domeinbrede delegatie):
+1. bron: users.messages.list(labelIds=[label])          → alle berichten met het label
+2. bron: users.messages.get(format=raw)                  → het volledige bericht (met bijlagen, datum, afzender ...)
+3. doel: users.messages.import(raw, labelIds=[...])      → in de doelmailbox, onder hetzelfde label
+   (de originele datum blijft, geen spamfilter; gelezen/ongelezen en ster gaan mee)
+4. bij 'verplaatsen': bron: users.messages.trash        → in de bronmailbox naar de prullenbak (30 dagen terug te halen)
+Elk bericht dat al gekopieerd werd naar dezelfde doelmailbox, wordt overgeslagen (tabel gmail_label_items),
+zodat je een onderbroken opdracht gewoon opnieuw kan starten.
+
+Vereist (eenmalig, Admin-console › Beveiliging › API-beheer › Domeinbrede delegatie, bij het serviceaccount):
+    https://www.googleapis.com/auth/gmail.modify
+"""
+import sys
+import threading
+import time
+from datetime import datetime
+
+from database import execute_query
+from tenancy import school_singleton, met_school, google_credentials
+
+SCOPE = 'https://www.googleapis.com/auth/gmail.modify'
+MEEGAAN = ('UNREAD', 'STARRED', 'IMPORTANT')          # systeemlabels die mee naar de doelmailbox gaan
+
+
+class LabelFout(Exception):
+    pass
+
+
+def _gmail(mailbox):
+    from googleapiclient.discovery import build
+    creds = google_credentials([SCOPE], subject=mailbox)
+    try:
+        return build('gmail', 'v1', credentials=creds, static_discovery=True, cache_discovery=False)
+    except Exception:
+        return build('gmail', 'v1', credentials=creds, static_discovery=False, cache_discovery=False)
+
+
+def vriendelijk(e, mailbox=None):
+    tekst = str(e)
+    laag = tekst.lower()
+    if 'unauthorized_client' in laag or 'insufficient' in laag or 'access_denied' in laag:
+        return ("Google weigert de toegang: het serviceaccount mist het Gmail-recht om berichten te lezen en te "
+                "importeren. Voeg in admin.google.com › Beveiliging › Toegangs- en gegevensbeheer › API-beheer › "
+                f"Domeinbrede delegatie bij het serviceaccount dit bereik toe: {SCOPE} (het kan enkele minuten duren).")
+    if 'has not been used' in laag or 'is disabled' in laag or 'accessnotconfigured' in laag:
+        return ("De Gmail API staat nog niet aan in het Google Cloud-project van het serviceaccount "
+                "(console.cloud.google.com › API's en services › Bibliotheek › Gmail API › Inschakelen).")
+    if 'mail service not enabled' in laag or 'failedprecondition' in laag:
+        return f"{mailbox or 'Deze gebruiker'} heeft geen werkende Gmail-mailbox (geen licentie of Gmail uitgeschakeld)."
+    if 'notfound' in laag.replace(' ', '') or ' 404' in tekst:
+        return "Niet gevonden (bestaat de mailbox of het label nog?)."
+    return tekst[:300]
+
+
+def ensure_tables():
+    execute_query("""
+        CREATE TABLE IF NOT EXISTS gmail_label_log (
+            ID        INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+            Gestart   DATETIME     NOT NULL,
+            Klaar     DATETIME     NULL,
+            Door      VARCHAR(255) NULL,
+            Bron      VARCHAR(255) NOT NULL,
+            Label     VARCHAR(255) NOT NULL,
+            Doel      VARCHAR(255) NOT NULL,
+            Modus     VARCHAR(12)  NOT NULL,
+            Totaal    INT          NULL,
+            Gelukt    INT          NULL,
+            Overgeslagen INT       NULL,
+            Fouten    INT          NULL,
+            Melding   VARCHAR(500) NULL
+        ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci""", commit=True)
+    execute_query("""
+        CREATE TABLE IF NOT EXISTS gmail_label_items (
+            Bron      VARCHAR(255) NOT NULL,
+            Bron_ID   VARCHAR(64)  NOT NULL,
+            Doel      VARCHAR(255) NOT NULL,
+            Doel_ID   VARCHAR(64)  NULL,
+            Gekopieerd DATETIME    NOT NULL,
+            PRIMARY KEY (Bron, Bron_ID, Doel)
+        ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci""", commit=True)
+
+
+def labels(mailbox):
+    """Eigen labels van een mailbox, met het aantal berichten: [{'id', 'naam', 'aantal'}], alfabetisch."""
+    try:
+        g = _gmail(mailbox)
+        lijst = g.users().labels().list(userId='me').execute().get('labels', [])
+        uit = []
+        for l in lijst:
+            if l.get('type') != 'user':
+                continue
+            try:
+                info = g.users().labels().get(userId='me', id=l['id']).execute()
+                aantal = info.get('messagesTotal')
+            except Exception:
+                aantal = None
+            uit.append({'id': l['id'], 'naam': l.get('name', ''), 'aantal': aantal})
+    except Exception as e:
+        raise LabelFout(vriendelijk(e, mailbox))
+    return sorted(uit, key=lambda l: l['naam'].lower())
+
+
+def geschiedenis(limiet=20):
+    ensure_tables()
+    return execute_query("SELECT * FROM gmail_label_log ORDER BY Gestart DESC LIMIT %s", (int(limiet),)) or []
+
+
+class LabelVerplaatser:
+    def __new__(cls):
+        def init(inst):
+            inst._lock = threading.Lock()
+            inst.status = {'bezig': False, 'voortgang': 0, 'totaal': 0, 'gelukt': 0, 'overgeslagen': 0, 'fouten': 0,
+                           'fout': None, 'resultaat': None, 'opdracht': None, 'foutvoorbeelden': []}
+        return school_singleton(cls, init)
+
+    # ---------------- hulpfuncties ----------------
+    @staticmethod
+    def _alle_ids(g, label_id):
+        ids, token = [], None
+        while True:
+            resp = g.users().messages().list(userId='me', labelIds=[label_id], maxResults=500, pageToken=token,
+                                             includeSpamTrash=False).execute()
+            ids += [m['id'] for m in resp.get('messages', [])]
+            token = resp.get('nextPageToken')
+            if not token:
+                return ids
+
+    @staticmethod
+    def _doel_label(g, naam):
+        """Id van het label `naam` in de doelmailbox (aangemaakt als het nog niet bestaat, ook sublabels)."""
+        bestaand = {l['name']: l['id'] for l in g.users().labels().list(userId='me').execute().get('labels', [])}
+        if naam in bestaand:
+            return bestaand[naam]
+        # Bovenliggende labels eerst aanmaken (A, A/B, A/B/C), zodat de nesting in Gmail klopt
+        delen = naam.split('/')
+        for i in range(1, len(delen) + 1):
+            pad = '/'.join(delen[:i])
+            if pad not in bestaand:
+                nieuw = g.users().labels().create(userId='me', body={
+                    'name': pad, 'labelListVisibility': 'labelShow', 'messageListVisibility': 'show'}).execute()
+                bestaand[pad] = nieuw['id']
+        return bestaand[naam]
+
+    @staticmethod
+    def _herhaal(fn, pogingen=4):
+        """Google-aanroep met een paar nieuwe pogingen bij 429/5xx (te snel / tijdelijk)."""
+        for poging in range(pogingen):
+            try:
+                return fn()
+            except Exception as e:
+                status = getattr(getattr(e, 'resp', None), 'status', None)
+                if status in (429, 500, 502, 503) and poging < pogingen - 1:
+                    time.sleep(2 ** poging)
+                    continue
+                raise
+
+    # ---------------- opdracht ----------------
+    def run(self, bron, label_id, label_naam, doel, modus, door):
+        if not self._lock.acquire(blocking=False):
+            return False, "Er loopt al een opdracht."
+        log_id = None
+        try:
+            ensure_tables()
+            self.status.update(bezig=True, voortgang=0, totaal=0, gelukt=0, overgeslagen=0, fouten=0, prullenbak=0, fout=None,
+                               resultaat=None, foutvoorbeelden=[],
+                               opdracht={'bron': bron, 'label': label_naam, 'doel': doel, 'modus': modus})
+            execute_query("INSERT INTO gmail_label_log (Gestart, Door, Bron, Label, Doel, Modus) "
+                          "VALUES (NOW(), %s, %s, %s, %s, %s)", (door, bron, label_naam, doel, modus), commit=True)
+            log_id = (execute_query("SELECT MAX(ID) AS id FROM gmail_label_log WHERE Bron = %s AND Doel = %s",
+                                    (bron, doel)) or [{}])[0].get('id')
+            try:
+                gb, gd = _gmail(bron), _gmail(doel)
+                ids = self._alle_ids(gb, label_id)
+                doel_label = self._doel_label(gd, label_naam)
+            except Exception as e:
+                raise LabelFout(vriendelijk(e))
+            self.status['totaal'] = len(ids)
+            al = {r['Bron_ID'] for r in execute_query(
+                "SELECT Bron_ID FROM gmail_label_items WHERE Bron = %s AND Doel = %s", (bron, doel)) or []}
+            for mid in ids:
+                try:
+                    if mid in al:
+                        self.status['overgeslagen'] += 1
+                    else:
+                        bericht = self._herhaal(lambda: gb.users().messages().get(userId='me', id=mid, format='raw').execute())
+                        extra = [l for l in bericht.get('labelIds', []) if l in MEEGAAN]
+                        nieuw = self._herhaal(lambda: gd.users().messages().import_(
+                            userId='me', body={'raw': bericht['raw'], 'labelIds': [doel_label] + extra},
+                            internalDateSource='dateHeader', neverMarkSpam=True, processForCalendar=False).execute())
+                        execute_query("INSERT IGNORE INTO gmail_label_items (Bron, Bron_ID, Doel, Doel_ID, Gekopieerd) "
+                                      "VALUES (%s, %s, %s, %s, NOW())", (bron, mid, doel, nieuw.get('id')), commit=True)
+                        self.status['gelukt'] += 1
+                    if modus == 'verplaatsen':
+                        self._herhaal(lambda: gb.users().messages().trash(userId='me', id=mid).execute())
+                        self.status['prullenbak'] = self.status.get('prullenbak', 0) + 1
+                except Exception as e:
+                    self.status['fouten'] += 1
+                    if len(self.status['foutvoorbeelden']) < 5:
+                        self.status['foutvoorbeelden'].append(vriendelijk(e)[:200])
+                    sys.stderr.write(f"Label verplaatsen {bron} → {doel}, bericht {mid}: {e}\n")
+                self.status['voortgang'] += 1
+            s = self.status
+            msg = f"Label '{label_naam}' van {bron} naar {doel}: {s['gelukt']} bericht(en) gekopieerd"
+            if s['overgeslagen']:
+                msg += f", {s['overgeslagen']} stonden er al"
+            if modus == 'verplaatsen':
+                msg += f", {s.get('prullenbak', 0)} in de bronmailbox naar de prullenbak"
+            if s['fouten']:
+                msg += f", {s['fouten']} mislukt"
+            s['resultaat'] = msg + '.'
+            return True, s['resultaat']
+        except Exception as e:
+            self.status['fout'] = vriendelijk(e)
+            return False, self.status['fout']
+        finally:
+            s = self.status
+            if log_id:
+                try:
+                    execute_query("UPDATE gmail_label_log SET Klaar = NOW(), Totaal = %s, Gelukt = %s, Overgeslagen = %s, "
+                                  "Fouten = %s, Melding = %s WHERE ID = %s",
+                                  (s['totaal'], s['gelukt'], s['overgeslagen'], s['fouten'],
+                                   (s['fout'] or s['resultaat'] or '')[:500], log_id), commit=True)
+                except Exception:
+                    pass
+            s['bezig'] = False
+            self._lock.release()
+
+    def start(self, *args):
+        if self.status['bezig']:
+            return False
+        self.status.update(bezig=True, voortgang=0, totaal=0, fout=None, resultaat=None)
+        threading.Thread(target=met_school(lambda: self.run(*args)), daemon=True).start()
+        return True
diff --git a/services/google_license_service.py b/services/google_license_service.py
new file mode 100644
index 0000000..354dc1e
--- /dev/null
+++ b/services/google_license_service.py
@@ -0,0 +1,276 @@
+"""
+Google Workspace for Education – licentie-overzicht.
+
+Haalt via de Enterprise License Manager API op welke gebruikers een
+licentie hebben. Google geeft het aantal AANGEKOCHTE licenties niet vrij
+via de API; dat aantal wordt in PIVOT bijgehouden (tabel google_licenties)
+en door een admin ingevuld.
+
+Vereist (eenmalig, Google Admin-console):
+  Beveiliging > Toegangs- en gegevensbeheer > API-beheer >
+  Domeinbrede delegatie > service-account bewerken en deze scope toevoegen:
+      https://www.googleapis.com/auth/apps.licensing
+"""
+import sys
+import time
+from googleapiclient.discovery import build
+from config import Config
+from database import execute_query
+from tenancy import google_credentials
+
+LICENSING_SCOPE = 'https://www.googleapis.com/auth/apps.licensing'
+
+# Product- en SKU-ID's volgens Google:
+# https://developers.google.com/workspace/admin/licensing/v1/how-tos/products
+EDU_PRODUCT_ID = '101031'
+SKU_NAMES = {
+    '1010310008': 'Education Plus',
+    '1010310009': 'Education Plus (Staff)',
+    '1010310010': 'Education Plus (Extra Student)',
+    '1010310005': 'Education Standard',
+    '1010310006': 'Education Standard (Staff)',
+    '1010310007': 'Education Standard (Extra Student)',
+}
+# Deze SKU's worden altijd getoond, ook als er (nog) niemand een licentie heeft
+DEFAULT_SKUS = ['1010310008']
+# Licenties die de scholengroep niet gebruikt: niet tonen, tenzij iemand er toch (per vergissing) één heeft
+VERBORGEN_SKUS = {'1010310009'}   # Education Plus (Staff)
+
+CACHE_SECONDS = 10 * 60
+
+
+def _soort_fout(e):
+    """'scope' = delegatie/scope ontbreekt, 'api' = API niet ingeschakeld, anders None."""
+    laag = str(e).lower()
+    if 'unauthorized_client' in laag or 'access_denied' in laag or 'invalid_scope' in laag:
+        return 'scope'
+    if 'accessnotconfigured' in laag or 'has not been used' in laag or 'is disabled' in laag \
+            or 'service_disabled' in laag:
+        return 'api'
+    return None
+
+
+def _google_reden(e):
+    """De foutboodschap van Google zelf (zonder de lange URL)."""
+    try:
+        import json
+        inhoud = json.loads(getattr(e, 'content', b'') or b'{}')
+        fout = inhoud.get('error') or {}
+        if isinstance(fout, dict) and fout.get('message'):
+            return f"{getattr(getattr(e, 'resp', None), 'status', '')} {fout['message']}".strip()
+    except Exception:
+        pass
+    return str(e)[:250]
+
+
+class GoogleLicenseService:
+    def __init__(self, directory_service=None):
+        self._cache = None          # (timestamp, data)
+        self._licensing = None
+        self._klant = None          # customerId die werkt
+        # Bestaande Directory-client hergebruiken (scopes zijn daar al geautoriseerd)
+        self._directory = directory_service
+
+    # ---------- API-clients (lui aangemaakt, zodat de app ook start zonder scope) ----------
+    def _creds(self, scope):
+        return google_credentials([scope], subject=Config.GOOGLE_ADMIN_EMAIL)
+
+    def _licensing_api(self):
+        if self._licensing is None:
+            self._licensing = build('licensing', 'v1', credentials=self._creds(LICENSING_SCOPE),
+                                    static_discovery=False, cache_discovery=False)
+        return self._licensing
+
+    def _directory_api(self):
+        if self._directory is None:
+            from services.google_service import GoogleAdminService
+            self._directory = GoogleAdminService().service
+        return self._directory
+
+    # ---------- Database: aangekochte aantallen ----------
+    @staticmethod
+    def ensure_table():
+        execute_query("""
+            CREATE TABLE IF NOT EXISTS google_licenties (
+                SKU_ID       VARCHAR(32)  NOT NULL PRIMARY KEY,
+                Naam         VARCHAR(128) NOT NULL,
+                Aangekocht   INT          NOT NULL DEFAULT 0,
+                Bijgewerkt   DATETIME     NULL,
+                Bijgewerkt_door VARCHAR(100) NULL
+            )""", commit=True)
+
+    def get_purchased(self):
+        rows = execute_query("SELECT SKU_ID, Naam, Aangekocht, Bijgewerkt, Bijgewerkt_door FROM google_licenties")
+        return {r['SKU_ID']: r for r in rows}
+
+    def set_purchased(self, sku_id, aantal, gebruiker):
+        naam = SKU_NAMES.get(sku_id, sku_id)
+        execute_query("""
+            INSERT INTO google_licenties (SKU_ID, Naam, Aangekocht, Bijgewerkt, Bijgewerkt_door)
+            VALUES (%s, %s, %s, NOW(), %s)
+            ON DUPLICATE KEY UPDATE Aangekocht = VALUES(Aangekocht), Naam = VALUES(Naam),
+                                    Bijgewerkt = NOW(), Bijgewerkt_door = VALUES(Bijgewerkt_door)
+        """, (sku_id, naam, int(aantal), gebruiker), commit=True)
+
+    # ---------- Google: toegewezen licenties ----------
+    def _klant_kandidaten(self):
+        """Waarden om als customerId te proberen. De Licensing API wil het PRIMAIRE domein van de Google-klant
+        (of de klant-ID, bv. C01abc23d). Het domein dat in PIVOT bij de school staat, is soms een secundair domein
+        of alias: dan antwoordt Google met 403/400. Daarom ook de klant-ID van de beheerder proberen."""
+        kandidaten = [Config.SCHOOL_DOMAIN]
+        try:
+            u = self._directory_api().users().get(userKey=Config.GOOGLE_ADMIN_EMAIL,
+                                                  fields='customerId,primaryEmail').execute()
+            kandidaten += [u.get('customerId'), (u.get('primaryEmail') or '').partition('@')[2]]
+        except Exception as e:
+            sys.stderr.write(f"Licenties: klant-ID van de beheerder niet op te halen: {e}\n")
+        kandidaten.append((Config.GOOGLE_ADMIN_EMAIL or '').partition('@')[2])
+        return [k for k in dict.fromkeys(k.strip() for k in kandidaten if k and k.strip())]
+
+    def _list_assignments(self):
+        api = self._licensing_api()
+        laatste = None
+        for klant in (self._klant_kandidaten() if not getattr(self, '_klant', None) else [self._klant]):
+            assignments, token = [], None
+            try:
+                while True:
+                    resp = api.licenseAssignments().listForProduct(
+                        productId=EDU_PRODUCT_ID, customerId=klant, maxResults=1000, pageToken=token).execute()
+                    assignments.extend(resp.get('items', []))
+                    token = resp.get('nextPageToken')
+                    if not token:
+                        self._klant = klant          # onthouden welke waarde werkt
+                        return assignments
+            except Exception as e:
+                status = getattr(getattr(e, 'resp', None), 'status', None)
+                if status not in (400, 403, 404) or _soort_fout(e) in ('scope', 'api'):
+                    raise
+                sys.stderr.write(f"Licenties met customerId={klant} mislukt: {e}\n")
+                laatste = e
+        raise laatste or RuntimeError("Geen Google-klant gevonden om licenties voor op te vragen.")
+
+    def _uitleg(self, e):
+        """Begrijpelijke melding met de echte reden van Google en wat je kan nakijken."""
+        from tenancy import huidige_school
+        sleutel = huidige_school().google_sleutel or {}
+        client_id = sleutel.get('client_id', '?')
+        project = sleutel.get('project_id', '?')
+        admin = Config.GOOGLE_ADMIN_EMAIL
+        soort = _soort_fout(e)
+        reden = _google_reden(e)
+        if soort == 'scope':
+            return (f"Google weigert de toegang (unauthorized_client): voor client-ID {client_id} staat de scope "
+                    f"{LICENSING_SCOPE} niet in de domeinbrede delegatie. Kijk na in de Admin-console van het domein van "
+                    f"{admin} (Beveiliging › API-beheer › Domeinbrede delegatie) dat de scope bij exact deze client-ID "
+                    "staat — elke school met een eigen JSON-sleutel heeft een eigen client-ID. Een wijziging kan tot "
+                    "een uur duren.")
+        if soort == 'api':
+            return (f"De Enterprise License Manager API staat niet aan in Google Cloud-project '{project}' "
+                    "(console.cloud.google.com › API's en services › Bibliotheek › 'Enterprise License Manager API' "
+                    f"› Inschakelen). Google: {reden}")
+        return (f"Google weigert de licenties ({reden}). De delegatie zelf werkt, dus de scope is in orde. "
+                f"Mogelijke oorzaken: {admin} is geen hoofdbeheerder (super admin) van het domein, of het domein "
+                f"'{Config.SCHOOL_DOMAIN}' is niet het primaire domein van de Google-klant (ook de klant-ID werd "
+                f"geprobeerd), of deze school heeft geen Education Standard/Plus-licenties. Service-account: "
+                f"client-ID {client_id}, project '{project}'.")
+
+    def _user_details(self):
+        """Alle gebruikers met OU en status, zodat we per licentie context kunnen tonen."""
+        api = self._directory_api()
+        users, token = {}, None
+        while True:
+            resp = api.users().list(
+                customer='my_customer', maxResults=500, pageToken=token,
+                projection='basic',
+                fields='nextPageToken,users(primaryEmail,name/fullName,orgUnitPath,suspended,archived,lastLoginTime)'
+            ).execute()
+            for u in resp.get('users', []):
+                users[u['primaryEmail'].lower()] = u
+            token = resp.get('nextPageToken')
+            if not token:
+                return users
+
+    def get_overview(self, force=False):
+        """
+        Geeft (data, fout) terug. data = {
+            'skus':  [ {sku_id, naam, in_gebruik, aangekocht, vrij, procent, geschorst, ...}, ... ],
+            'users': [ {email, naam, ou, sku_id, sku_naam, geschorst, gearchiveerd, laatste_login}, ... ],
+            'opgehaald': timestamp
+        }
+        """
+        if not force and self._cache and time.time() - self._cache[0] < CACHE_SECONDS:
+            return self._cache[1], None
+
+        try:
+            assignments = self._list_assignments()
+        except Exception as e:
+            sys.stderr.write(f"Licenties ophalen mislukt: {e}\n")
+            self._licensing = None          # volgende keer opnieuw opbouwen (bv. na een nieuwe JSON-sleutel)
+            self._klant = None
+            try:
+                return None, self._uitleg(e)
+            except Exception:
+                return None, str(e)[:400]
+
+        try:
+            directory = self._user_details()
+        except Exception as e:
+            sys.stderr.write(f"Gebruikersdetails ophalen mislukt (niet kritisch): {e}\n")
+            directory = {}
+
+        try:
+            purchased = self.get_purchased()
+        except Exception as e:
+            sys.stderr.write(f"Tabel google_licenties niet leesbaar: {e}\n")
+            purchased = {}
+
+        users, counts, suspended_counts = [], {}, {}
+        for a in assignments:
+            sku = a.get('skuId')
+            email = (a.get('userId') or '').lower()
+            d = directory.get(email, {})
+            geschorst = bool(d.get('suspended'))
+            gearchiveerd = bool(d.get('archived'))
+            counts[sku] = counts.get(sku, 0) + 1
+            if geschorst or gearchiveerd:
+                suspended_counts[sku] = suspended_counts.get(sku, 0) + 1
+            users.append({
+                'email': email,
+                'naam': (d.get('name') or {}).get('fullName', ''),
+                'ou': d.get('orgUnitPath', ''),
+                'sku_id': sku,
+                'sku_naam': SKU_NAMES.get(sku, a.get('skuName', sku)),
+                'geschorst': geschorst,
+                'gearchiveerd': gearchiveerd,
+                'onbekend': not d,
+                'laatste_login': (d.get('lastLoginTime') or '')[:10].replace('1970-01-01', ''),
+            })
+        users.sort(key=lambda u: (u['sku_naam'], u['ou'], u['email']))
+
+        sku_ids = list(dict.fromkeys(DEFAULT_SKUS + list(counts) + list(purchased)))
+        skus = []
+        for sku in sku_ids:
+            in_gebruik = counts.get(sku, 0)
+            if sku in VERBORGEN_SKUS and not in_gebruik:
+                continue
+            aangekocht = int(purchased.get(sku, {}).get('Aangekocht') or 0)
+            vrij = aangekocht - in_gebruik
+            procent = round(in_gebruik / aangekocht * 100) if aangekocht else None
+            skus.append({
+                'sku_id': sku,
+                'naam': SKU_NAMES.get(sku, purchased.get(sku, {}).get('Naam', sku)),
+                'in_gebruik': in_gebruik,
+                'aangekocht': aangekocht,
+                'vrij': vrij,
+                'procent': procent,
+                'geschorst': suspended_counts.get(sku, 0),
+                'bijgewerkt': purchased.get(sku, {}).get('Bijgewerkt'),
+                'bijgewerkt_door': purchased.get(sku, {}).get('Bijgewerkt_door'),
+            })
+
+        data = {'skus': skus, 'users': users, 'opgehaald': time.time()}
+        self._cache = (time.time(), data)
+        return data, None
+
+    def clear_cache(self):
+        self._cache = None
diff --git a/services/google_service.py b/services/google_service.py
new file mode 100644
index 0000000..a514105
--- /dev/null
+++ b/services/google_service.py
@@ -0,0 +1,391 @@
+from googleapiclient.discovery import build
+from config import Config
+from tenancy import google_credentials
+import sys
+from datetime import datetime, timedelta, timezone
+import smtplib
+from email.mime.text import MIMEText
+from email.mime.multipart import MIMEMultipart
+
+class GoogleAdminService:
+    def __init__(self):
+        #lijst met scopes
+        self.conf = Config()
+        self.server = Config.GOOGLE_SMTP_SERVER
+        self.port = Config.GOOGLE_SMTP_PORT
+        self.sender = Config.GOOGLE_SMTP_SENDER_adres
+        # Serviceaccount van de huidige school, gedelegeerd naar de admin van die school
+        self.delegated_creds = google_credentials(self.conf.GOOGLE_API_SCOPES, subject=self.conf.GOOGLE_ADMIN_EMAIL)
+        self.service = build('admin', 'directory_v1', credentials=self.delegated_creds,static_discovery=False)
+    
+    #functie die passwoord aanpast
+    def change_password(self, email, new_password):
+        """Wijzigt het wachtwoord van een gebruiker in Google Workspace."""
+        try:
+            self.service.users().update(
+                userKey=email, 
+                body={'password': new_password, 'changePasswordAtNextLogin': True}
+            ).execute()
+            return True, "Wachtwoord succesvol gewijzigd."
+        except Exception as e:
+            return False, str(e)
+
+    #Functie die info ophaalt
+    def get_user_info(self, email):
+        """Haalt info op over een specifieke gebruiker."""
+        try:
+            user = self.service.users().get(userKey=email).execute()
+            return user
+        except:
+            return None
+    #Functie die nieuwe gebruiker aanmaakt    
+    def create_user(self, first_name, last_name, password, org_unit_path):
+        try:
+            primary_email = f"{first_name.lower()}.{last_name.lower()}@{self.conf.SCHOOL_DOMAIN}"
+            user_body = {
+                'primaryEmail': primary_email,
+                'name': {'givenName': first_name.capitalize(), 'familyName': last_name.capitalize()},
+                'password': password,
+                'orgUnitPath': org_unit_path,
+                'changePasswordAtNextLogin': True
+            }
+            self.service.users().insert(body=user_body).execute()
+            return True, primary_email
+        except Exception as e:
+            return False, str(e)
+    #functie die opzoek of genruiger reeds aawezig is
+    def search_users(self, query_string):
+            """
+            Zoekt gebruikers in Google Workspace op basis van een query.
+            Bijv: query_string="name:Jan*" of "email:jan@school.be"
+            """
+            try:
+                results = self.service.users().list(
+                    customer='my_customer',
+                    query=query_string,
+                    maxResults=10,
+                    orderBy='email'
+                ).execute()
+
+                return results.get('users', [])
+            except Exception as e:
+                print(f"Fout bij zoeken in Google: {e}")
+                return []
+        
+    #functie die toestelstatus aanpast (disabled/enabled)       
+    def toggle_device_status(self, device_id, lock=True):
+        print("My debug message", flush=True)
+        """Blokkeert (disable) of deblokkeert (reenable) een ChromeOS device."""
+        try:
+            import sys
+            #print die gebruikt word als debug check
+            sys.stderr.write(f"DEBUG: Calling Google API for ID: {device_id}\n")
+            action_type = 'disable' if lock else 'reenable'
+
+
+            
+            self.service.chromeosdevices().action(
+                customerId='my_customer',
+                resourceId=device_id, 
+                body={'action': action_type}
+            ).execute()
+
+            return True, f"Toestel status succesvol gewijzigd naar {action_type}"
+        except Exception as e:
+            import sys
+            sys.stderr.write(f"\n--- GOOGLE API ERROR: {str(e)} ---\n")
+            return False, f"Google API Fout: {str(e)}"
+
+    #Functie die na het ingeven van de serienummer het DeviceID ophaalt (dit is een andere string dan het serienummer en essentieel om het toestel te kunnen blokkeren)
+    def lijst_chromebooks(self, ous=None):
+        """Alle ingeschreven Chromebooks (niet uitgeschreven), eventueel beperkt tot OU's (incl. sub-OU's).
+        Geeft een lijst dicts met serialNumber, model, status, orgUnitPath, annotatedAssetId."""
+        velden = 'nextPageToken,chromeosdevices(serialNumber,model,status,orgUnitPath,annotatedAssetId)'
+        toestellen, gezien = [], set()
+        for ou in (ous or [None]):
+            token = None
+            while True:
+                params = dict(customerId='my_customer', maxResults=200, projection='BASIC', fields=velden,
+                              pageToken=token)
+                if ou:
+                    params.update(orgUnitPath=ou, includeChildOrgunits=True)
+                resp = self.service.chromeosdevices().list(**params).execute()
+                for d in resp.get('chromeosdevices', []):
+                    serie = (d.get('serialNumber') or '').strip()
+                    if not serie or serie in gezien or d.get('status') == 'DEPROVISIONED':
+                        continue
+                    gezien.add(serie)
+                    toestellen.append(d)
+                token = resp.get('nextPageToken')
+                if not token:
+                    break
+        return toestellen
+
+    def chromebook_info(self, serienummer):
+        """Gebruiksinfo van één Chromebook: recente gebruikers, laatste synchronisatie, actieve tijd per dag.
+        Geeft (dict, None) of (None, foutmelding)."""
+        serie = str(serienummer or '').strip()
+        if not serie:
+            return None, "Dit toestel heeft geen serienummer."
+        velden = ('chromeosdevices(serialNumber,model,status,orgUnitPath,lastSync,lastEnrollmentTime,osVersion,'
+                  'recentUsers,activeTimeRanges,annotatedUser,annotatedLocation)')
+        devices = []
+        for query in (f"id:{serie}", serie):        # id: = zoeken op serienummer
+            resp = self.service.chromeosdevices().list(customerId='my_customer', query=query, projection='FULL',
+                                                       maxResults=5, fields=velden).execute()
+            devices = [d for d in resp.get('chromeosdevices', [])
+                       if (d.get('serialNumber') or '').strip().upper() == serie.upper()]
+            if devices:
+                break
+        if not devices:
+            return None, f"Geen Chromebook met serienummer {serie} gevonden in Google Admin."
+        d = devices[0]
+        return {
+            'serienummer': d.get('serialNumber'),
+            'model': d.get('model'),
+            'status': d.get('status'),
+            'ou': d.get('orgUnitPath'),
+            'os': d.get('osVersion'),
+            'laatste_sync': d.get('lastSync'),
+            'ingeschreven': d.get('lastEnrollmentTime'),
+            'gebruikers': [{'email': u.get('email') or '', 'beheerd': u.get('type') == 'USER_TYPE_MANAGED'}
+                           for u in d.get('recentUsers', [])],
+            'actief': sorted(({'datum': r.get('date'), 'minuten': round(int(r.get('activeTime') or 0) / 60000)}
+                              for r in d.get('activeTimeRanges', [])), key=lambda r: r['datum'] or '',
+                             reverse=True)[:14],
+        }, None
+
+    def zoek_chromebook(self, serienummer):
+        """(deviceId, status) van de Chromebook met exact dit serienummer, of (None, foutmelding).
+        Status: ACTIVE, DISABLED, DEPROVISIONED, ..."""
+        serie = str(serienummer or '').strip().replace('\t', '').replace('\n', '').replace('\r', '')
+        if not serie:
+            return None, "Dit toestel heeft geen serienummer."
+        gevonden = []
+        for query in (f"id:{serie}", serie):        # id: = zoeken op serienummer
+            resp = self.service.chromeosdevices().list(customerId='my_customer', query=query, maxResults=10,
+                                                       projection='BASIC',
+                                                       fields='chromeosdevices(deviceId,serialNumber,status)').execute()
+            gevonden = [d for d in resp.get('chromeosdevices', [])
+                        if (d.get('serialNumber') or '').strip().upper() == serie.upper()]
+            if gevonden:
+                break
+        if not gevonden:
+            return None, f"Geen Chromebook met serienummer {serie} gevonden in Google Admin."
+        # Bij een opnieuw ingeschreven toestel: de niet-uitgeschreven versie
+        d = next((x for x in gevonden if x.get('status') != 'DEPROVISIONED'), gevonden[0])
+        return {'id': d.get('deviceId'), 'status': d.get('status')}, None
+
+    def get_device_id_by_serial(self, serienummer):
+        """Zoekt het deviceId op basis van het fysieke serienummer."""
+        print(f"DEBUG: Zoeken naar serienummer: '{serienummer}'", flush=True)
+        try:
+
+            # Verwijder spaties, tabs (\t) en newlines (\n)
+            clean_serial = str(serienummer).strip().replace('\t', '').replace('\n', '').replace('\r', '')
+            
+            # Voer de API call uit met het schone serienummer
+            results = self.service.chromeosdevices().list(
+                customerId='my_customer', 
+                query=f"{clean_serial}"
+            ).execute()
+
+            devices = results.get('chromeosdevices', [])
+            
+            if devices:
+                dev_id = devices[0].get('deviceId')
+                sys.stderr.write(f"DEBUG: Toestel gevonden! ID: {dev_id}\n")
+                return dev_id, None
+            
+            return None, f"Device met serienummer {clean_serial} niet gevonden."
+            
+        except Exception as e:
+            sys.stderr.write(f"DEBUG: Fout in get_device_id_by_serial: {str(e)}\n")
+            return None, str(e)
+        
+    def list_org_units(self):
+        """Haalt alle Organizational Units op en sorteert ze alfabetisch."""
+        try:
+            results = self.service.orgunits().list(customerId='my_customer', type='all').execute()
+            org_units = results.get('organizationUnits', [])
+            
+            # Sorteren op het volledige pad (bijv. /Leerlingen komt na /Beheer)
+            org_units.sort(key=lambda x: x.get('orgUnitPath', '').lower())
+            
+            return org_units
+        except Exception as e:
+            import sys
+            sys.stderr.write(f"Fout bij ophalen OUs: {e}\n")
+            return []
+
+    def move_users_ou(self, source_ou, target_ou, only_enrolled=True, enrolled_emails=None):
+        """
+        Verplaatst gebruikers van source naar target.
+        enrolled_emails: een lijst met e-mailadressen die volgens Informat/database ingeschreven zijn.
+        """
+        users_moved = 0
+        try:
+            # We zoeken specifiek gebruikers in de bron-OU om API-quota te besparen
+            query = f"orgUnitPath='{source_ou}'"
+            results = self.service.users().list(customer='my_customer', query=query).execute()
+            users = results.get('users', [])
+
+            for user in users:
+                user_email = user.get('primaryEmail')
+                
+                # Logica voor de radiobuttons uit je HTML
+                should_move = False
+                if not only_enrolled:
+                    should_move = True # "Alle leerlingen"
+                elif enrolled_emails and user_email in enrolled_emails:
+                    should_move = True # "Enkel ingeschreven leerlingen"
+
+                if should_move:
+                    self.service.users().update(
+                        userKey=user_email,
+                        body={'orgUnitPath': target_ou}
+                    ).execute()
+                    users_moved += 1
+            
+            return True, f"{users_moved} gebruikers succesvol verplaatst."
+        except Exception as e:
+            return False, f"Fout bij verplaatsen: {str(e)}"
+        
+    def move_chromebooks_ou(self, source_ou, target_ou):
+        """Verplaatst alle Chromebooks van de bron-OU naar de doel-OU."""
+        devices_moved = 0
+        next_page_token = None
+        try:
+            while True:
+                # We halen alle toestellen op en filteren handmatig op de OU
+                results = self.service.chromeosdevices().list(
+                    customerId='my_customer',
+                    pageToken=next_page_token,
+                    maxResults=100
+                ).execute()
+
+                devices = results.get('chromeosdevices', [])
+                for device in devices:
+                    if device.get('orgUnitPath') == source_ou:
+                        device_id = device['deviceId']
+                        self.service.chromeosdevices().update(
+                            customerId='my_customer',
+                            deviceId=device_id,
+                            body={'orgUnitPath': target_ou}
+                        ).execute()
+                        devices_moved += 1
+
+                next_page_token = results.get('nextPageToken')
+                if not next_page_token:
+                    break
+            return True, f"{devices_moved} Chromebooks succesvol verplaatst."
+        except Exception as e:
+            return False, f"Fout bij verplaatsen Chromebooks: {str(e)}"
+        
+    def toggle_ou_devices_status(self, org_unit_path, block=True):
+        """
+        Blokkeert of deblokkeert alle ChromeOS toestellen in een specifieke OU.
+        Voorkomt 412 errors door de huidige status te controleren.
+        """
+        devices_processed = 0
+        action_type = 'disable' if block else 'reenable'
+        # De status die het toestel AL heeft als de actie overbodig is
+        forbidden_status = 'DISABLED' if block else 'ACTIVE' 
+        
+        next_page_token = None
+        
+        try:
+            while True:
+                results = self.service.chromeosdevices().list(
+                    customerId='my_customer',
+                    pageToken=next_page_token,
+                    maxResults=100
+                ).execute()
+    
+                devices = results.get('chromeosdevices', [])
+                
+                for device in devices:
+                    if device.get('orgUnitPath') == org_unit_path:
+                        current_status = device.get('status') # bijv. 'ACTIVE' of 'DISABLED'
+                        device_id = device['deviceId']
+                        serial = device.get('serialNumber', 'Onbekend')
+    
+                        # Alleen actie ondernemen als de status nog niet is
+                        if current_status != forbidden_status:
+                            try:
+                                self.service.chromeosdevices().action(
+                                    customerId='my_customer',
+                                    resourceId=device_id,
+                                    body={'action': action_type}
+                                ).execute()
+                                devices_processed += 1
+                            except Exception as e:
+                                print(f"Kon {serial} niet wijzigen: {e}")
+                        else:
+                            print(f"Overgeslagen: {serial} is al {current_status}")
+                
+                next_page_token = results.get('nextPageToken')
+                if not next_page_token:
+                    break
+                    
+            status_tekst = "geblokkeerd" if block else "gedeblokkeerd"
+            return True, f"{devices_processed} toestellen succesvol {status_tekst}. Toestellen die al de juiste status hadden zijn overgeslagen."
+        except Exception as e:
+            return False, f"Algemene fout: {str(e)}"
+        
+    def send_custom_mail(self, receiver_email, subject, body):
+        msg = MIMEMultipart()
+        msg['From'] = self.sender
+        msg['To'] = receiver_email
+        msg['Subject'] = subject
+        
+        msg.attach(MIMEText(body, 'html')) # We sturen het als HTML voor mooie opmaak
+
+        try:
+            with smtplib.SMTP(self.server, self.port) as server:
+                server.starttls()
+                # Geen login nodig voor de relay indien geconfigureerd op IP
+                wachtwoord = Config.GOOGLE_SMTP_EMAIL_PASSWORD
+                if wachtwoord and wachtwoord != 'None':
+                    server.login(self.sender, wachtwoord)
+                server.sendmail(self.sender, receiver_email, msg.as_string())
+            return True, "Email succesvol verzonden"
+        except Exception as e:
+            return False, str(e) 
+
+    def archive_inactive_users(self, source_ou, days_inactive):
+        """Archiveert gebruikers die X dagen niet zijn ingelogd, zonder van OU te wisselen."""
+        users_archived = 0
+        cutoff_date = datetime.now(timezone.utc) - timedelta(days=days_inactive)
+        
+        try:
+            # Zoek gebruikers in de bron-OU
+            query = f"orgUnitPath='{source_ou}'"
+            results = self.service.users().list(customer='my_customer', query=query).execute()
+            users = results.get('users', [])
+    
+            for user in users:
+                last_login_str = user.get('lastLoginTime')
+                user_email = user.get('primaryEmail')
+                
+                should_archive = False
+                if last_login_str:
+                    last_login_dt = datetime.fromisoformat(last_login_str.replace('Z', '+00:00'))
+                    if last_login_dt < cutoff_date:
+                        should_archive = True
+                else:
+                    # Nooit ingelogd = inactief
+                    should_archive = True
+    
+                if should_archive:
+                    # We sturen enkel 'archived': True en GEEN 'orgUnitPath'
+                    self.service.users().update(
+                        userKey=user_email,
+                        body={'archived': True}
+                    ).execute()
+                    users_archived += 1
+    
+            return True, f"{users_archived} gebruikers succesvol gearchiveerd (OU ongewijzigd)."
+        except Exception as e:
+            return False, f"Fout bij archiveren: {str(e)}"   
+    
\ No newline at end of file
diff --git a/services/gopro_service.py b/services/gopro_service.py
new file mode 100644
index 0000000..bbb0922
--- /dev/null
+++ b/services/gopro_service.py
@@ -0,0 +1,619 @@
+"""
+GO! Pro: personeelsleden van de actieve school uit Informat (Personeel WEB API, versie 2).
+
+- GET /employees               → naam, voornaam, isActive, comnrs (telefoonnummers), ...
+- GET /employees/assignments   → opdrachten met ambt (functie), begindatum en einddatum
+Scope: api_informat_sas_personeel.personeel.{instellingsnummer} (zelfde client-ID/secret als de leerlingen-API,
+maar de client moet ook deze scope hebben).
+
+Per personeelslid komt er één rij. Functie en rol kies je in PIVOT uit dezelfde lijst (standaard Leerkracht,
+een directeur Directeur) en worden per personeelslid bewaard in de schooldatabase (tabel gopro_keuzes).
+"""
+import re
+import unicodedata
+from datetime import date, datetime, timezone
+
+import requests
+
+from config import Config
+from database import execute_query
+from services.sync_service import informat_get
+
+ROLLEN = [
+    'Algemeen Directeur', 'Coordinerend Directeur', 'Communicatie', 'Financiën', 'Infrastructuur', 'HR', 'ICT',
+    'Preventie en veiligheid', 'MVD', 'Administratief', 'RVB-lid', 'RVB', 'Voorzitter RVB', 'Beleidsondersteuner',
+    'Directeur Coordinator', 'Directeur', 'Internationalisering', 'Leerkracht', 'GO Studio Schoolbeheerder',
+    'Medewerker SGR', 'Adjunct-directeur', 'Administratief school', 'Beleidsondersteuner school',
+]
+STANDAARD_ROL = 'Leerkracht'
+
+
+
+def standaard_rol(ambten):
+    """Functie en rol zolang er in PIVOT niets gekozen is: een directeur blijft Directeur (adjunct-directeur blijft
+    Adjunct-directeur), alle anderen Leerkracht. `ambten` = de ambten uit Informat (lopende opdrachten + hoofdambt)."""
+    tekst = ' '.join(a.lower() for a in ambten if a)
+    if 'adjunct' in tekst and 'directeur' in tekst:
+        return 'Adjunct-directeur'
+    if 'directeur' in tekst:
+        return 'Directeur'
+    return STANDAARD_ROL
+
+
+# Kolommen van het GO! Pro-importbestand (zelfde namen en volgorde)
+EXPORT_KOLOMMEN = ['Naam', 'Achternaam', 'AanmeldEmailadres', 'UPN', 'CommunicatiefEmailadres',
+                   'OnderwijsinstellingNr', 'Functie', 'rol', 'StartDatum', 'EindDatum', 'ProfessioneelTelefoonNr']
+
+
+# ---------------------------------------------------------------------
+# Hulpfuncties
+# ---------------------------------------------------------------------
+def naamdeel(tekst):
+    """'Van den Broeck' → 'vandenbroeck', 'Zoë' → 'zoe': kleine letters, geen accenten, spaties of leestekens
+    (een koppelteken blijft staan)."""
+    t = unicodedata.normalize('NFKD', str(tekst or '')).encode('ascii', 'ignore').decode()
+    return re.sub(r'[^a-z0-9-]', '', t.lower()).strip('-')
+
+
+def upn_van(voornaam, achternaam):
+    v, a = naamdeel(voornaam), naamdeel(achternaam)
+    return f"{v}.{a}" if v and a else (v or a)
+
+
+def _datum(waarde):
+    """'2026-09-01T00:00:00' → date; leeg of ongeldig → None."""
+    if not waarde:
+        return None
+    try:
+        return datetime.strptime(str(waarde)[:10], '%Y-%m-%d').date()
+    except ValueError:
+        return None
+
+
+def _lijst(data, *sleutels):
+    if isinstance(data, list):
+        return data
+    for s in sleutels:
+        if isinstance(data, dict) and isinstance(data.get(s), list):
+            return data[s]
+    return []
+
+
+def _telefoon(personeelslid):
+    """Enkel een professioneel nummer (type 'Werk'): privénummers gaan niet naar GO! Pro."""
+    for c in personeelslid.get('comnrs') or []:
+        if str(c.get('type') or '').strip().lower() == 'werk' and c.get('nr'):
+            return str(c['nr']).strip()
+    return ''
+
+
+# ---------------------------------------------------------------------
+# Keuzes voor functie en rol (schooldatabase)
+# ---------------------------------------------------------------------
+VELDEN = ('functie', 'rol', 'email', 'upn')
+ADRES_RE = re.compile(r'^[^@\s]+@[^@\s]+\.[^@\s]+$')
+
+
+def ensure_tables():
+    execute_query("""
+        CREATE TABLE IF NOT EXISTS gopro_keuzes (
+            Person_ID   VARCHAR(64)  NOT NULL PRIMARY KEY,
+            Functie     VARCHAR(100) NULL,
+            Rol         VARCHAR(100) NULL,
+            Email       VARCHAR(255) NULL,
+            UPN         VARCHAR(255) NULL,
+            Bijgewerkt  DATETIME     NOT NULL,
+            Door        VARCHAR(255) NULL
+        )""", commit=True)
+    # Bestaande tabel van vóór de bewerkbare e-mail/UPN
+    kolommen = {r['Field'].lower() for r in execute_query("SHOW COLUMNS FROM gopro_keuzes") or []}
+    for kolom in ('Email', 'UPN'):
+        if kolom.lower() not in kolommen:
+            execute_query(f"ALTER TABLE gopro_keuzes ADD COLUMN {kolom} VARCHAR(255) NULL AFTER Rol", commit=True)
+
+
+def keuzes():
+    """{person_id: {'functie': ..., 'rol': ...}} met wat in PIVOT gekozen is (None = niets gekozen).
+    Rollen uit de vroegere tabel gopro_rollen (indien die bestaat) tellen mee als er nog geen nieuwe keuze is."""
+    ensure_tables()
+    uit = {r['Person_ID']: {'functie': r['Functie'], 'rol': r['Rol'], 'email': r['Email'], 'upn': r['UPN']}
+           for r in execute_query("SELECT Person_ID, Functie, Rol, Email, UPN FROM gopro_keuzes") or []}
+    if execute_query("SHOW TABLES LIKE 'gopro_rollen'"):
+        for r in execute_query("SELECT Person_ID, Rol FROM gopro_rollen ORDER BY Bijgewerkt DESC") or []:
+            k = uit.setdefault(r['Person_ID'], {'functie': None, 'rol': None, 'email': None, 'upn': None})
+            k['rol'] = k['rol'] or r['Rol']
+    return uit
+
+
+def keuze_opslaan(person_id, veld, waarde, door=None):
+    """Bewaart één keuze. Voor e-mail en UPN: leeg = terug naar het standaardadres (voornaam.achternaam@domein)."""
+    if veld not in VELDEN:
+        raise ValueError(f"Onbekend veld '{veld}'")
+    if not person_id:
+        raise ValueError("Geen personeelslid opgegeven")
+    if veld in ('email', 'upn'):
+        waarde = (waarde or '').strip().lower() or None
+        if waarde and not ADRES_RE.match(waarde):
+            raise ValueError(f"'{waarde}' is geen geldig e-mailadres.")
+    elif waarde not in ROLLEN:
+        raise ValueError(f"Onbekende waarde '{waarde}'")
+    ensure_tables()
+    kolom = {'functie': 'Functie', 'rol': 'Rol', 'email': 'Email', 'upn': 'UPN'}[veld]
+    execute_query(
+        f"INSERT INTO gopro_keuzes (Person_ID, {kolom}, Bijgewerkt, Door) VALUES (%s, %s, NOW(), %s) "
+        f"ON DUPLICATE KEY UPDATE {kolom} = VALUES({kolom}), Bijgewerkt = NOW(), Door = VALUES(Door)",
+        (person_id, waarde, door), commit=True)
+
+
+def pas_keuzes_toe(rij, gekozen):
+    """Zet functie en rol van een rij: wat in PIVOT gekozen is, anders de standaard uit Informat."""
+    k = gekozen.get(rij['person_id']) or {}
+    rij['functie'] = k.get('functie') or rij['standaard']
+    rij['rol'] = k.get('rol') or rij['standaard']
+    rij['email'] = k.get('email') or rij['standaard_email']
+    rij['upn'] = k.get('upn') or rij['standaard_upn']
+    rij['email_aangepast'] = bool(k.get('email'))
+    rij['upn_aangepast'] = bool(k.get('upn'))
+    return rij
+
+
+def markeer_dubbel(rijen):
+    """Rijen waarvan het e-mailadres ook bij een ander personeelslid staat (bv. zelfde naam) krijgen 'dubbel'."""
+    per_mail = {}
+    for r in rijen:
+        per_mail.setdefault(r['email'], set()).add(r['person_id'])
+    for r in rijen:
+        r['dubbel'] = bool(r['email']) and len(per_mail[r['email']]) > 1
+    return rijen
+
+
+def google_kleur(rij, google):
+    """'account' als e-mail of UPN een account is in Google, 'alias' als één ervan een alias is, anders 'geen'.
+    Zelfde regel als de kleuren op de pagina."""
+    soorten = [google.get((rij.get(v) or '').strip().lower()) for v in ('email', 'upn')]
+    return 'account' if 'primair' in soorten else 'alias' if 'alias' in soorten else 'geen'
+
+
+def google_adressen(vernieuw=False):
+    """{adres: 'primair' | 'alias'} voor alle gebruikers in Google Workspace van de huidige school, 10 minuten
+    bewaard. Gebruikt de bestaande Directory-koppeling (scope admin.directory.user)."""
+    import time
+    from tenancy import huidige_school
+    school = huidige_school()
+    bewaard = school.cache.get('gopro_google')
+    if bewaard and not vernieuw and time.time() - bewaard[0] < 600:
+        return bewaard[1]
+    from services.google_service import GoogleAdminService
+    users = GoogleAdminService().service.users()
+    adressen, token = {}, None
+    while True:
+        res = users.list(customer='my_customer', maxResults=500, pageToken=token,
+                         fields='nextPageToken,users(primaryEmail,aliases)').execute()
+        for u in res.get('users', []):
+            for a in u.get('aliases') or []:
+                adressen.setdefault(str(a).lower(), 'alias')
+            if u.get('primaryEmail'):
+                adressen[str(u['primaryEmail']).lower()] = 'primair'
+        token = res.get('nextPageToken')
+        if not token:
+            break
+    school.cache['gopro_google'] = (time.time(), adressen)
+    return adressen
+
+
+# ---------------------------------------------------------------------
+# Informat
+# ---------------------------------------------------------------------
+class GoProService:
+    def __init__(self):
+        self.api = str(Config.INFORMAT_PERSONEEL_API or '').rstrip('/')
+        self.scope_basis = re.sub(r'\.\d+$', '', str(Config.INFORMAT_PERSONEEL_SCOPE or '').strip())
+        self.nummers = [n for n, _ in (Config.INFORMAT_CAMPUSSEN or [])] or [Config.INFORMAT_INST_NUMBER]
+
+    def _token(self, nummer):
+        try:
+            r = requests.post(Config.INFORMAT_AUTH_URL, timeout=15, data={
+                'grant_type': 'client_credentials', 'client_id': Config.INFORMAT_ID,
+                'client_secret': Config.INFORMAT_SECRET, 'scope': f"{self.scope_basis}.{nummer}"})
+        except requests.RequestException as e:
+            raise RuntimeError(f"Informat niet bereikbaar: {e}")
+        try:
+            antwoord = r.json()
+        except ValueError:
+            antwoord = {}
+        if r.status_code == 200 and antwoord.get('access_token'):
+            return antwoord['access_token']
+        # Het echte antwoord van de Informat-aanmeldserver tonen (bv. invalid_scope of invalid_client)
+        reden = ' – '.join(str(antwoord[k]) for k in ('error', 'error_description') if antwoord.get(k)) \
+            or r.text[:200] or f"HTTP {r.status_code}"
+        uitleg = {
+            'invalid_scope': f"de client heeft de scope {self.scope_basis}.{nummer} (nog) niet.",
+            'invalid_client': "de client-ID of het client-secret van deze school klopt niet.",
+            'unauthorized_client': "deze client mag zich niet op deze manier aanmelden.",
+        }.get(antwoord.get('error'), "")
+        raise RuntimeError(
+            f"Aanmelden bij de Informat Personeel-API mislukt voor instellingsnummer {nummer} "
+            f"(scope {self.scope_basis}.{nummer}). Informat antwoordt: {reden}" + (f". Dat betekent: {uitleg}" if uitleg else ""))
+
+    def _get(self, pad, nummer, token, schooljaar):
+        headers = {'Authorization': f'BEARER {token}', 'InstituteNo': nummer, 'Api-Version': '2',
+                   'Accept': 'application/json',
+                   'Timestamp': datetime.now(timezone.utc).strftime('%Y-%m-%dT%H:%M:%S.000Z')}
+        r = informat_get(f"{self.api}{pad}?schoolYear={schooljaar}", headers)
+        if r.status_code in (401, 403):
+            raise RuntimeError(f"Informat weigert de toegang tot {pad} (instellingsnummer {nummer}). Heeft de client "
+                               f"de scope {self.scope_basis}.{nummer}?")
+        if r.status_code != 200:
+            raise RuntimeError(f"Informat Personeel-API fout {r.status_code} op {pad} "
+                               f"(instellingsnummer {nummer}): {r.text[:300]}")
+        return r.json()
+
+    def personeel(self, domein, instellingsnummer_officieel='', schooljaar=None, vandaag=None):
+        """Lijst van rijen (dicts) voor het scherm en de export, gesorteerd op achternaam en voornaam."""
+        schooljaar = schooljaar or Config.SCHOOLYEAR
+        vandaag = vandaag or date.today()
+        domein = (domein or '').lstrip('@')
+        gekozen = keuzes()
+        rijen, gezien = [], set()
+
+        for nummer in self.nummers:
+            token = self._token(nummer)
+            leden = _lijst(self._get('/employees', nummer, token, schooljaar), 'employees', 'items', 'data')
+            opdrachten = _lijst(self._get('/employees/assignments', nummer, token, schooljaar),
+                                'assignments', 'items', 'data')
+
+            # Lopende opdrachten per personeelslid (alle ambten samen): vroegste begin, laatste einde
+            per = {}
+            for o in opdrachten:
+                begin, einde = _datum(o.get('begindatum')), _datum(o.get('einddatum'))
+                if begin and begin > vandaag or einde and einde < vandaag:
+                    continue
+                f = per.setdefault(str(o.get('personId')), {'begin': begin, 'einde': einde, 'open': einde is None,
+                                                            'ambten': set()})
+                f['ambten'].add((o.get('ambt') or '').strip())
+                if begin and (not f['begin'] or begin < f['begin']):
+                    f['begin'] = begin
+                if einde is None:
+                    f['open'] = True
+                elif not f['open'] and (not f['einde'] or einde > f['einde']):
+                    f['einde'] = einde
+
+            for p in leden:
+                pid = str(p.get('personId') or p.get('pPersoon') or '')
+                if not pid or p.get('isActive') is False or p.get('isOverleden'):
+                    continue
+                voornaam, achternaam = (p.get('voornaam') or '').strip(), (p.get('naam') or '').strip()
+                # Eén rij per persoon, ook als die in meer dan één instellingsnummer voorkomt
+                # (daar kan Informat een ander personId geven: dan herkennen we de persoon aan naam + geboortedatum)
+                geboren = str(p.get('geboortedatum') or '')[:10]
+                persoon = (naamdeel(voornaam), naamdeel(achternaam), geboren) if geboren else ('pid', pid)
+                f = per.get(pid) or {'begin': None, 'einde': None, 'open': True, 'ambten': set()}
+                ambten = f['ambten'] | {((p.get('hoofdAmbt') or {}).get('naam') or '').strip()}
+                if pid in gezien or persoon in gezien:
+                    bestaand = next(r for r in rijen if r['person_id'] == pid or r['_persoon'] == persoon)
+                    if f['begin'] and (not bestaand['start'] or f['begin'] < bestaand['start']):
+                        bestaand['start'] = f['begin']
+                    if f['open']:
+                        bestaand['einde'] = None
+                    elif bestaand['einde'] and f['einde'] and f['einde'] > bestaand['einde']:
+                        bestaand['einde'] = f['einde']
+                    bestaand['telefoon'] = bestaand['telefoon'] or _telefoon(p)
+                    nieuw = standaard_rol(ambten)       # bv. directeur in het tweede instellingsnummer
+                    if nieuw != STANDAARD_ROL and bestaand['standaard'] == STANDAARD_ROL:
+                        bestaand['standaard'] = nieuw
+                        pas_keuzes_toe(bestaand, gekozen)
+                    continue
+                gezien.update((pid, persoon))
+                upn = upn_van(voornaam, achternaam)
+                rijen.append({
+                    'id': pid,
+                    'person_id': pid,
+                    '_persoon': persoon,
+                    'voornaam': voornaam,
+                    'achternaam': achternaam,
+                    'standaard_email': f"{upn}@{domein}" if upn and domein else '',
+                    'standaard_upn': f"{upn}@{domein}" if upn and domein else upn,   # UPN = het volledige e-mailadres
+                    'instellingsnummer': instellingsnummer_officieel or nummer,
+                    'standaard': standaard_rol(ambten),
+                    'start': f['begin'],
+                    'einde': None if f['open'] else f['einde'],
+                    'telefoon': _telefoon(p),
+                })
+                pas_keuzes_toe(rijen[-1], gekozen)
+
+        markeer_dubbel(rijen)
+        rijen.sort(key=lambda r: (naamdeel(r['achternaam']), naamdeel(r['voornaam'])))
+        return rijen
+
+    def tel(self, peildatum):
+        """Aantal personeelsleden met een lopende opdracht op `peildatum` (één keer per persoon, ook als die in
+        meerdere instellingsnummers werkt). Geeft (totaal, detail) met detail = [{'naam', 'nummer', 'aantal'}]
+        per instellingsnummer als de school er meer dan één heeft, anders None."""
+        from tenancy import _automatisch_schooljaar
+        schooljaar = _automatisch_schooljaar(peildatum)
+        namen = dict(Config.INFORMAT_CAMPUSSEN or [])
+        alle, detail = set(), []
+        for nummer in self.nummers:
+            token = self._token(nummer)
+            leden = _lijst(self._get('/employees', nummer, token, schooljaar), 'employees', 'items', 'data')
+            opdrachten = _lijst(self._get('/employees/assignments', nummer, token, schooljaar),
+                                'assignments', 'items', 'data')
+            # personId → persoon (naam + geboortedatum), om dezelfde persoon in een ander nummer te herkennen
+            persoon = {}
+            for p in leden:
+                pid = str(p.get('personId') or p.get('pPersoon') or '')
+                geboren = str(p.get('geboortedatum') or '')[:10]
+                persoon[pid] = ((naamdeel(p.get('voornaam')), naamdeel(p.get('naam')), geboren) if geboren
+                                else (nummer, pid))
+            hier = set()
+            for o in opdrachten:
+                begin, einde = _datum(o.get('begindatum')), _datum(o.get('einddatum'))
+                if (begin and begin > peildatum) or (einde and einde < peildatum):
+                    continue
+                pid = str(o.get('personId') or '')
+                if pid:
+                    hier.add(persoon.get(pid, (nummer, pid)))
+            alle |= hier
+            detail.append({'naam': namen.get(nummer) or nummer, 'nummer': nummer, 'aantal': len(hier)})
+        return len(alle), (detail if len(detail) > 1 else None)
+
+
+# ---------------------------------------------------------------------
+# Verzameltabel (centrale database): personeel van alle scholen samen, voor één grote GO! Pro-import
+# ---------------------------------------------------------------------
+def schooljaar_periode(vandaag=None):
+    """(1 september, 31 augustus) van het lopende schooljaar: in de verzameltabel heeft iedereen deze periode."""
+    vandaag = vandaag or date.today()
+    jaar = vandaag.year if vandaag.month >= 9 else vandaag.year - 1
+    return date(jaar, 9, 1), date(jaar + 1, 8, 31)
+
+
+_periode_gezet = {'dag': None}
+
+
+def verzamel_ensure():
+    from database import central_query
+    central_query("""
+        CREATE TABLE IF NOT EXISTS GoPro_verzameltabel (
+            ID                INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+            School_code       VARCHAR(32)  NOT NULL,
+            School_naam       VARCHAR(255) NULL,
+            Person_ID         VARCHAR(64)  NOT NULL,
+            Voornaam          VARCHAR(100) NULL,
+            Achternaam        VARCHAR(100) NULL,
+            Email             VARCHAR(255) NULL,
+            UPN               VARCHAR(255) NULL,
+            Instellingsnummer VARCHAR(20)  NULL,
+            Functie           VARCHAR(100) NULL,
+            Rol               VARCHAR(100) NULL,
+            Startdatum        DATE         NULL,
+            Einddatum         DATE         NULL,
+            Telefoon          VARCHAR(50)  NULL,
+            Toegevoegd        DATETIME     NOT NULL,
+            Door              VARCHAR(255) NULL,
+            Soort             VARCHAR(10)  NOT NULL DEFAULT 'groen',
+            Verzonden         DATETIME     NULL,
+            Verzonden_door    VARCHAR(255) NULL,
+            UNIQUE KEY uq_gopro_verz (School_code, Person_ID),
+            KEY idx_gopro_verz_email (Email)
+        ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci""", commit=True)
+    # Soort: 'groen' = gaat mee in de GO! Pro-CSV, 'genegeerd' = rode lijst (nooit meer tonen, niet exporteren),
+    #        'verzonden' = al naar GO! Pro doorgestuurd (niet meer in de verzameltabel, nooit opnieuw toevoegen)
+    kolommen = {r['Field'].lower() for r in central_query("SHOW COLUMNS FROM GoPro_verzameltabel") or []}
+    if 'soort' not in kolommen:
+        central_query("ALTER TABLE GoPro_verzameltabel ADD COLUMN Soort VARCHAR(10) NOT NULL DEFAULT 'groen'", commit=True)
+    if 'verzonden' not in kolommen:
+        central_query("ALTER TABLE GoPro_verzameltabel ADD COLUMN Verzonden DATETIME NULL, "
+                      "ADD COLUMN Verzonden_door VARCHAR(255) NULL", commit=True)
+    # Iedereen in de verzameltabel: periode = het lopende schooljaar (1 keer per dag nagekeken)
+    if _periode_gezet['dag'] != date.today():
+        start, einde = schooljaar_periode()
+        central_query("UPDATE GoPro_verzameltabel SET Startdatum = %s, Einddatum = %s WHERE Soort = 'groen' "
+                      "AND (Startdatum IS NULL OR Einddatum IS NULL OR Startdatum <> %s OR Einddatum <> %s)",
+                      (start, einde, start, einde), commit=True)
+        _periode_gezet['dag'] = date.today()
+
+
+def verzameld_sleutels():
+    """({(school_code, person_id): soort}, {e-mailadres: soort}) van alles in de verzameltabel (groen én genegeerd)."""
+    from database import central_query
+    verzamel_ensure()
+    rijen = central_query("SELECT School_code, Person_ID, Email, Soort FROM GoPro_verzameltabel") or []
+    return ({(r['School_code'], str(r['Person_ID'])): r['Soort'] for r in rijen},
+            {(r['Email'] or '').strip().lower(): r['Soort'] for r in rijen if r['Email']})
+
+
+def is_verzameld(rij, school_code, sleutels):
+    """In welke lijst staat dit personeelslid al ('groen' / 'genegeerd'), of None.
+    Herkend aan school + personeelslid, of aan het e-mailadres."""
+    paren, mails = sleutels
+    return paren.get((school_code, str(rij['person_id']))) or mails.get((rij.get('email') or '').strip().lower())
+
+
+def verzamel_toevoegen(rijen, school, door=None, soort='groen'):
+    """Voegt de rijen toe aan de verzameltabel (soort 'groen') of aan de rode lijst ('genegeerd').
+    Geeft (toegevoegd, overgeslagen)."""
+    from database import central_query
+    sleutels = verzameld_sleutels()
+    periode = schooljaar_periode()          # iedereen: 1 september – 31 augustus van het lopende schooljaar
+    toegevoegd = overgeslagen = 0
+    for r in rijen:
+        if is_verzameld(r, school.code, sleutels):
+            overgeslagen += 1
+            continue
+        central_query(
+            "INSERT INTO GoPro_verzameltabel (School_code, School_naam, Person_ID, Voornaam, Achternaam, Email, UPN, "
+            "Instellingsnummer, Functie, Rol, Startdatum, Einddatum, Telefoon, Toegevoegd, Door, Soort) "
+            "VALUES (%s, %s, %s, %s, %s, %s, %s, %s, %s, %s, %s, %s, %s, NOW(), %s, %s)",
+            (school.code, school.naam, str(r['person_id']), r['voornaam'], r['achternaam'], r['email'], r['upn'],
+             r['instellingsnummer'], r['functie'], r['rol'], periode[0], periode[1], r['telefoon'], door, soort),
+            commit=True)
+        sleutels[0][(school.code, str(r['person_id']))] = soort
+        if r.get('email'):
+            sleutels[1][r['email'].strip().lower()] = soort
+        toegevoegd += 1
+    return toegevoegd, overgeslagen
+
+
+def verzameld_alle(school_code=None, soort='groen'):
+    from database import central_query
+    verzamel_ensure()
+    if school_code:
+        return central_query("SELECT * FROM GoPro_verzameltabel WHERE School_code = %s AND Soort = %s "
+                             "ORDER BY Achternaam, Voornaam", (school_code, soort)) or []
+    return central_query("SELECT * FROM GoPro_verzameltabel WHERE Soort = %s "
+                         "ORDER BY School_naam, Achternaam, Voornaam", (soort,)) or []
+
+
+def markeer_verzonden(door=None, school_code=None):
+    """Alle personeelsleden in de verzameltabel (of enkel die van één school) als verzonden markeren.
+    Ze verdwijnen uit de verzameltabel en worden nooit opnieuw toegevoegd. Geeft het aantal."""
+    from database import central_query
+    verzamel_ensure()
+    n = len(verzameld_alle(school_code))
+    if school_code:
+        central_query("UPDATE GoPro_verzameltabel SET Soort = 'verzonden', Verzonden = NOW(), Verzonden_door = %s "
+                      "WHERE Soort = 'groen' AND School_code = %s", (door, school_code), commit=True)
+    else:
+        central_query("UPDATE GoPro_verzameltabel SET Soort = 'verzonden', Verzonden = NOW(), Verzonden_door = %s "
+                      "WHERE Soort = 'groen'", (door,), commit=True)
+    return n
+
+
+def aantal_verzonden(school_code):
+    from database import central_query
+    verzamel_ensure()
+    r = central_query("SELECT COUNT(*) AS n FROM GoPro_verzameltabel WHERE School_code = %s AND Soort = 'verzonden'",
+                      (school_code,)) or [{}]
+    return int(r[0].get('n') or 0)
+
+
+# ---------------------------------------------------------------------
+# Nachtelijke verzameling: elke nacht van alle scholen de groene personeelsleden naar de verzameltabel
+# ---------------------------------------------------------------------
+NACHT_SLEUTEL = 'gopro_nachtelijk'            # '1' = aan
+NACHT_DAG_SLEUTEL = 'gopro_nachtelijk_dag'    # laatste datum waarop het liep (zodat het één keer per nacht loopt)
+NACHT_RESULTAAT_SLEUTEL = 'gopro_nachtelijk_resultaat'
+NACHT_UUR_VAN, NACHT_UUR_TOT = 2, 6           # tussen 02:00 en 06:00
+NACHT_DOOR = 'Automatisch (nacht)'
+_nacht = {'bezig': False}
+
+
+def _instelling_ensure():
+    from services import ipblokkade
+    ipblokkade.ensure_table()                 # maakt PIVOT_instellingen aan als die nog niet bestaat
+
+
+def nacht_instelling():
+    """{'aan': bool, 'door', 'bijgewerkt', 'resultaat', 'resultaat_op'}"""
+    from database import central_query
+    _instelling_ensure()
+    rijen = {r['Sleutel']: r for r in central_query(
+        "SELECT Sleutel, Waarde, Bijgewerkt, Door FROM PIVOT_instellingen WHERE Sleutel IN (%s, %s)",
+        (NACHT_SLEUTEL, NACHT_RESULTAAT_SLEUTEL)) or []}
+    aan, res = rijen.get(NACHT_SLEUTEL) or {}, rijen.get(NACHT_RESULTAAT_SLEUTEL) or {}
+    return {'aan': aan.get('Waarde') == '1', 'door': aan.get('Door'), 'bijgewerkt': aan.get('Bijgewerkt'),
+            'resultaat': res.get('Waarde'), 'resultaat_op': res.get('Bijgewerkt'), 'bezig': _nacht['bezig']}
+
+
+def zet_nacht(aan, door=None):
+    from database import central_query
+    _instelling_ensure()
+    central_query("INSERT INTO PIVOT_instellingen (Sleutel, Waarde, Bijgewerkt, Door) VALUES (%s, %s, NOW(), %s) "
+                  "ON DUPLICATE KEY UPDATE Waarde = VALUES(Waarde), Bijgewerkt = NOW(), Door = VALUES(Door)",
+                  (NACHT_SLEUTEL, '1' if aan else '0', door), commit=True)
+
+
+def verzamel_groene_van_school(school, door=NACHT_DOOR):
+    """Haalt het personeel van `school` op (Informat), kijkt na wie een account heeft in Google en zet de groene
+    die nog niet in de verzameltabel of op de rode lijst staan in de verzameltabel. Geeft het aantal toegevoegd."""
+    from tenancy import in_school
+    with in_school(school):
+        rijen = GoProService().personeel(school.domein, Config.INSTELLINGSNUMMER)
+        school.cache.pop('gopro', None)       # de GO! Pro-pagina haalt daarna vers op
+        google = google_adressen(vernieuw=True)
+        sleutels = verzameld_sleutels()
+        groen = [r for r in rijen if not is_verzameld(r, school.code, sleutels) and google_kleur(r, google) == 'account']
+        toegevoegd, _ = verzamel_toevoegen(groen, school, door)
+        return toegevoegd
+
+
+def verzamel_alle_scholen(door=NACHT_DOOR):
+    """Voor elke actieve school met Informat en een e-maildomein. Geeft een korte samenvatting."""
+    from database import central_query
+    from tenancy import alle_scholen
+    from rechten import log
+    _nacht['bezig'] = True
+    try:
+        totaal, scholen, fouten, details = 0, 0, [], []
+        for school in alle_scholen():
+            if not school.heeft('INFORMAT_INST_NUMBER', 'INFORMAT_ID', 'INFORMAT_SECRET') or not school.domein:
+                continue
+            try:
+                n = verzamel_groene_van_school(school, door)
+                totaal += n
+                scholen += 1
+                details.append(f"{school.naam}: {n}")
+            except Exception as e:
+                fouten.append(f"{school.naam}: {str(e)[:120]}")
+                import sys
+                sys.stderr.write(f"[{school.code}] GO! Pro nachtelijk verzamelen: {e}\n")
+        samenvatting = f"{totaal} toegevoegd uit {scholen} school/scholen"
+        if fouten:
+            samenvatting += f"; {len(fouten)} mislukt ({' | '.join(fouten)})"
+        try:
+            log(f"GO! Pro automatisch verzamelen: {samenvatting}. " + '; '.join(details), url='(nachtelijke taak)')
+        except Exception:
+            pass
+        _instelling_ensure()
+        central_query("INSERT INTO PIVOT_instellingen (Sleutel, Waarde, Bijgewerkt, Door) VALUES (%s, %s, NOW(), %s) "
+                      "ON DUPLICATE KEY UPDATE Waarde = VALUES(Waarde), Bijgewerkt = NOW(), Door = VALUES(Door)",
+                      (NACHT_RESULTAAT_SLEUTEL, samenvatting[:255], door), commit=True)
+        return samenvatting
+    finally:
+        _nacht['bezig'] = False
+
+
+def _nacht_claim(vandaag):
+    """True als dit proces de run van vandaag mag doen (ook als PIVOT in meerdere processen draait)."""
+    from database import central_query
+    central_query("INSERT IGNORE INTO PIVOT_instellingen (Sleutel, Waarde, Bijgewerkt) VALUES (%s, '', NOW())",
+                  (NACHT_DAG_SLEUTEL,), commit=True)
+    return central_query("UPDATE PIVOT_instellingen SET Waarde = %s, Bijgewerkt = NOW() "
+                         "WHERE Sleutel = %s AND (Waarde IS NULL OR Waarde <> %s)",
+                         (vandaag, NACHT_DAG_SLEUTEL, vandaag), commit=True) == 1
+
+
+_nacht_thread = None
+
+
+def start_scheduler():
+    """Achtergrondtaak: elk kwartier kijken of het nacht is en de schakelaar aan staat."""
+    import threading, time, sys
+    global _nacht_thread
+    if _nacht_thread:
+        return
+
+    def loop():
+        time.sleep(60)
+        while True:
+            try:
+                nu = datetime.now()
+                if NACHT_UUR_VAN <= nu.hour < NACHT_UUR_TOT and nacht_instelling()['aan'] \
+                        and _nacht_claim(nu.strftime('%Y-%m-%d')):
+                    verzamel_alle_scholen()
+            except Exception as e:
+                sys.stderr.write(f"GO! Pro nachtelijke taak: {e}\n")
+            time.sleep(15 * 60)
+
+    _nacht_thread = threading.Thread(target=loop, daemon=True)
+    _nacht_thread.start()
+
+
+def verzamel_alle_scholen_op_achtergrond(door):
+    import threading
+    if _nacht['bezig']:
+        return False
+    _nacht['bezig'] = True
+    threading.Thread(target=lambda: verzamel_alle_scholen(door), daemon=True).start()
+    return True
diff --git a/services/handleidingen_standaard.py b/services/handleidingen_standaard.py
new file mode 100644
index 0000000..5671364
--- /dev/null
+++ b/services/handleidingen_standaard.py
@@ -0,0 +1,347 @@
+"""
+Handleidingen die PIVOT meelevert. Bij het opstarten komt elke handleiding waarvan de slug nog niet bestaat in de
+tabel Handleidingen. Daarna pas je ze aan in PIVOT zelf (📘 Handleidingen › Bewerken); wijzigingen hier overschrijven niets.
+Een verwijderde handleiding blijft verborgen (Zichtbaar = 'weg') en komt dus niet terug.
+"""
+
+TWEESTAPS_UITZONDERING = """
+<p>Met deze handleiding stel je in Google Admin alles in zodat PIVOT iemand <strong>tijdelijk zonder 2FA</strong> (tot 23:59 dezelfde dag) kan laten inloggen
+(uitzondering) en 2FA kan <strong>resetten</strong> bij een nieuwe telefoon. Je doet dit één keer per domein; daarna enkel opnieuw
+als er een organisatie-eenheid (OU) bijkomt.</p>
+
+<div class="info"><strong>Hoe werkt het?</strong> PIVOT zet een gebruiker in de groep <em>2fa-uitzondering</em>. Voor die groep staat
+"Afdwingen" op <strong>Uit</strong>. Zolang de gebruiker in de groep zit, mag hij zonder 2FA inloggen. Om 23:59 dezelfde dag haalt PIVOT
+hem er automatisch weer uit.</div>
+
+<h2 id="stap-1">Stap 1 – De groep aanmaken</h2>
+<ol>
+  <li>Ga naar <a href="https://admin.google.com" target="_blank">admin.google.com</a> › <strong>Directory › Groepen</strong> › <strong>Groep maken</strong>.</li>
+  <li>Naam: <code>2fa-uitzondering</code>, e-mailadres: <code>2fa-uitzondering@jouwdomein.be</code>.</li>
+  <li>Bij de instellingen van de groep:
+    <ul>
+      <li>Wie kan lid worden: <strong>Alleen uitgenodigde gebruikers</strong>.</li>
+      <li>Wie kan berichten plaatsen: <strong>Groepseigenaren</strong> (de groep dient niet om te mailen).</li>
+      <li>Wie kan leden bekijken: <strong>Groepsbeheerders</strong>.</li>
+    </ul>
+  </li>
+  <li>Voeg zelf <strong>geen</strong> vaste leden toe. PIVOT voegt mensen toe en haalt ze er weer uit.</li>
+</ol>
+
+<h2 id="stap-2">Stap 2 – 2FA uitzetten voor de groep, in élke OU waar 2FA verplicht is</h2>
+<div class="let-op"><strong>Let op:</strong> een 2FA-instelling op een <strong>onderliggende OU gaat altijd vóór</strong> een groepsinstelling
+hoger in de boom. Stel de groep daarom in bij <strong>elke OU waar 2FA afgedwongen wordt</strong>, ook bij sub-OU's.</div>
+<ol>
+  <li>Ga naar <strong>Beveiliging › Authenticatie › Verificatie in 2 stappen</strong> (2-Step Verification).</li>
+  <li>Kies links onder <strong>Organisatie-eenheden</strong> de OU, bv. <em>GO-Antwerpen</em>. Klap met het pijltje open om sub-OU's te zien.</li>
+  <li>Klik links onderaan bij <strong>Groepen</strong> op de groep <em>2fa-uitzondering</em> (of voeg ze toe via "Groepen zoeken").
+      Bovenaan moet nu staan: <em>"Instellingen tonen voor gebruikers in <strong>[jouw OU]</strong> (organisatie-eenheid) die zich ook in
+      <strong>2fa-uitzondering</strong> (groep) bevinden"</em>.</li>
+  <li>Laat <strong>Gebruikers toestaan tweestapsverificatie aan te zetten</strong> aangevinkt.</li>
+  <li>Zet <strong>Afdwingen</strong> op <strong>Uit</strong>.</li>
+  <li>Klik op <strong>Overschrijven</strong> (of Opslaan). Onder "Verificatie" moet nu <strong>Overschreven</strong> staan, niet "Overgenomen".</li>
+  <li>Herhaal stap 2 tot 6 voor elke OU en sub-OU waar 2FA op <strong>Aan</strong> staat.</li>
+</ol>
+<div class="tip"><strong>Tip:</strong> per OU kan je maar één groep instellen. Gebruik daarom overal dezelfde groep <em>2fa-uitzondering</em>.</div>
+
+<h2 id="stap-3">Stap 3 – Rechten voor PIVOT (domeinbrede delegatie)</h2>
+<ol>
+  <li>Ga naar <strong>Beveiliging › Toegangs- en gegevensbeheer › API-beheer › Domeinbrede delegatie beheren</strong>.</li>
+  <li>Klik bij het service-account van PIVOT op <strong>Bewerken</strong>.</li>
+  <li>Controleer dat minstens deze scopes erbij staan (in het veld gescheiden door komma's):
+    <ul>
+      <li><code>https://www.googleapis.com/auth/admin.directory.user</code></li>
+      <li><code>https://www.googleapis.com/auth/admin.directory.user.security</code> (2FA resetten, back-upcodes)</li>
+      <li><code>https://www.googleapis.com/auth/admin.directory.group.member</code> (in/uit de groep zetten)</li>
+      <li><code>https://www.googleapis.com/auth/admin.directory.orgunit</code></li>
+    </ul>
+  </li>
+  <li>Klik op <strong>Autoriseren</strong>. Het kan enkele minuten duren voor Google dit toepast.</li>
+</ol>
+
+<h2 id="stap-4">Stap 4 – De groep invullen in PIVOT</h2>
+<ol>
+  <li>Open in PIVOT <strong>🔌 Koppelingen van deze school › 🛡️ 2FA-hulp</strong>.</li>
+  <li>Vul bij <strong>Uitzonderingsgroep</strong> het e-mailadres van de groep in: <code>2fa-uitzondering@jouwdomein.be</code>.</li>
+  <li>Opslaan en <strong>Testen</strong>.</li>
+</ol>
+
+<h2 id="stap-5">Stap 5 – Testen met een testaccount</h2>
+<ol>
+  <li>Geef in PIVOT (🛡️ 2FA-hulp) een testgebruiker een tijdelijke uitzondering (loopt tot 23:59).</li>
+  <li>Kijk in Google Admin bij <strong>Gebruikers › [testgebruiker] › Groepen</strong>: <em>2fa-uitzondering</em> moet in de lijst staan.</li>
+  <li>Kijk bij <strong>Gebruikers › [testgebruiker] › Beveiliging › Tweestapsverificatie</strong>.
+      Zolang daar <strong>"Afgedwongen in uw hele organisatie"</strong> staat, heeft Google de uitzondering nog niet toegepast.</li>
+</ol>
+<div class="let-op"><strong>Geduld:</strong> Google past een nieuwe groepsinstelling meestal binnen enkele minuten toe, maar het kan
+<strong>tot 24 uur</strong> duren, zeker bij een nieuwe groep of een nieuw account. PIVOT blijft een 2FA-reset elke minuut opnieuw proberen
+zolang de uitzondering loopt.</div>
+
+<h2 id="nieuwe-telefoon">Iemand heeft een nieuwe telefoon</h2>
+<p>Gebruik eerst een <strong>back-upcode</strong>: die werkt meteen, ook als 2FA afgedwongen wordt.</p>
+<ol>
+  <li>PIVOT: 🛡️ 2FA-hulp › zoek de gebruiker › <strong>Back-upcodes tonen / aanmaken</strong>
+      (of in Google Admin: Gebruikers › gebruiker › Beveiliging › Tweestapsverificatie › <em>Back-upverificatiecodes ophalen</em>).</li>
+  <li>Geef de gebruiker één code. Hij logt in met zijn wachtwoord en die code.</li>
+  <li>Daarna koppelt hij zijn nieuwe telefoon via <a href="https://myaccount.google.com/security" target="_blank">myaccount.google.com › Beveiliging</a>
+      › Verificatie in 2 stappen.</li>
+</ol>
+<p>Lukt dat niet, gebruik dan in PIVOT <strong>📵 2FA resetten</strong>. PIVOT zet de gebruiker dan in de uitzonderingsgroep en zet 2FA uit
+zodra Google de uitzondering toepast.</p>
+
+<h2 id="problemen">Problemen oplossen</h2>
+<table>
+  <thead><tr><th>Wat zie je?</th><th>Oorzaak</th><th>Oplossing</th></tr></thead>
+  <tbody>
+    <tr><td>Gebruiker zit in de groep, maar 2FA blijft "Afgedwongen"</td>
+        <td>De gebruiker staat in een (sub-)OU waar de groep niet ingesteld is, of Google past de instelling nog toe.</td>
+        <td>Controleer de OU van de gebruiker (Gebruikers › gebruiker, links onder "Organisatie-eenheid") en voer stap 2 uit voor
+            precies die OU. Wacht anders tot 24 uur.</td></tr>
+    <tr><td>"2-Step Verification cannot be turned off: … enforced"</td>
+        <td>Google dwingt 2FA nog af voor deze gebruiker.</td>
+        <td>Zie hierboven. PIVOT probeert automatisch opnieuw.</td></tr>
+    <tr><td>"Google weigert de toegang" / unauthorized_client</td>
+        <td>Een scope ontbreekt.</td><td>Stap 3.</td></tr>
+    <tr><td>"Gebruiker of groep niet gevonden"</td>
+        <td>Het e-mailadres van de groep in PIVOT klopt niet.</td><td>Stap 4.</td></tr>
+  </tbody>
+</table>
+"""
+
+MAIL_DELEGATIE = """
+<p>Met deze handleiding stel je Google Admin zo in dat PIVOT (<strong>✉️ Mailbox-delegatie</strong>) iemand toegang kan geven tot de
+mailbox van iemand anders, bv. het secretariaat tot de mailbox van de directie. De gedelegeerde kan dan lezen, versturen en verwijderen
+namens de eigenaar, maar kent het wachtwoord niet en kan de instellingen niet wijzigen.</p>
+
+<h2 id="stap-1">Stap 1 – Maildelegatie toelaten</h2>
+<ol>
+  <li>Ga naar <a href="https://admin.google.com" target="_blank">admin.google.com</a> › <strong>Apps › Google Workspace › Gmail › Gebruikersinstellingen</strong>.</li>
+  <li>Kies links de <strong>organisatie-eenheid</strong> van de mailboxen die gedeeld moeten worden (bv. <em>GO-Antwerpen</em>).
+      Kies de hoogste OU als het voor iedereen mag; sub-OU's nemen de instelling over, tenzij ze ze zelf overschrijven.</li>
+  <li>Open het onderdeel <strong>Maildelegatie</strong> (Mail delegation).</li>
+  <li>Vink aan: <strong>Gebruikers toestaan toegang tot hun mailbox te delegeren aan andere gebruikers in het domein</strong>.</li>
+  <li>Kies hoe verzonden mails getoond worden:
+    <ul>
+      <li><strong>De accounteigenaar en de gedelegeerde die de e-mail heeft verzonden tonen</strong> (aangeraden: de ontvanger ziet wie echt schreef), of</li>
+      <li><strong>Alleen de accounteigenaar tonen</strong>.</li>
+    </ul>
+  </li>
+  <li>Klik op <strong>Opslaan</strong>.</li>
+</ol>
+<div class="let-op"><strong>Let op:</strong> staat maildelegatie in een sub-OU op "Overschreven" en uit, dan werkt delegatie daar niet,
+ook al staat ze hoger in de boom aan. Controleer de OU van de mailbox-eigenaar.</div>
+
+<h2 id="stap-2">Stap 2 – Gmail API aanzetten (eenmalig)</h2>
+<ol>
+  <li>Ga naar <a href="https://console.cloud.google.com/apis/library/gmail.googleapis.com" target="_blank">console.cloud.google.com › API's › Gmail API</a>.</li>
+  <li>Kies bovenaan het project van het PIVOT-service-account.</li>
+  <li>Klik op <strong>Inschakelen</strong> (staat er "Beheren", dan is het al aan).</li>
+</ol>
+
+<h2 id="stap-3">Stap 3 – Rechten voor PIVOT (domeinbrede delegatie)</h2>
+<ol>
+  <li>Ga in Google Admin naar <strong>Beveiliging › Toegangs- en gegevensbeheer › API-beheer › Domeinbrede delegatie beheren</strong>.</li>
+  <li>Klik bij het service-account van PIVOT op <strong>Bewerken</strong>.</li>
+  <li>Voeg deze twee scopes toe aan de bestaande lijst (gescheiden door komma's; verwijder de andere niet):
+    <ul>
+      <li><code>https://www.googleapis.com/auth/gmail.settings.sharing</code> (delegatie toevoegen en verwijderen)</li>
+      <li><code>https://www.googleapis.com/auth/gmail.settings.basic</code> (bestaande delegaties tonen)</li>
+    </ul>
+  </li>
+  <li>Klik op <strong>Autoriseren</strong>.</li>
+</ol>
+<div class="tip"><strong>Tip:</strong> ontbreekt <em>gmail.settings.basic</em>, dan kan PIVOT wel delegaties toevoegen maar de lijst niet tonen
+("insufficient authentication scopes").</div>
+
+<h2 id="stap-4">Stap 4 – Rechten in PIVOT</h2>
+<ol>
+  <li>Geef wie delegaties mag beheren het recht <strong>Mailbox-delegatie</strong> in de juiste school
+      (⚙️ Beheer › 🔐 Gebruikers &amp; rechten › 🔐 Rechten).</li>
+  <li>Test in <strong>✉️ Mailbox-delegatie</strong> met twee testaccounts: geef account B toegang tot de mailbox van account A.</li>
+</ol>
+
+<h2 id="werking">Goed om te weten</h2>
+<ul>
+  <li>Een delegatie via PIVOT werkt meestal na <strong>ongeveer een minuut</strong>. De gedelegeerde hoeft niets te bevestigen.</li>
+  <li>Een nieuwe instelling in Google Admin (stap 1) kan <strong>tot 24 uur</strong> duren voor ze overal geldt.</li>
+  <li>De gedelegeerde opent de mailbox in Gmail via zijn <strong>profielfoto rechtsboven</strong> › de gedeelde mailbox kiezen.</li>
+  <li>Eigenaar en gedelegeerde moeten in <strong>dezelfde Google Workspace-organisatie</strong> zitten. Gebruik het
+      <strong>primaire e-mailadres</strong>, geen alias.</li>
+  <li>Een mailbox kan maximaal <strong>25 gedelegeerden</strong> hebben; iemand kan maximaal <strong>10 mailboxen</strong> openen
+      (Google kan deze limieten per organisatie anders instellen).</li>
+</ul>
+
+<h2 id="problemen">Problemen oplossen</h2>
+<table>
+  <thead><tr><th>Wat zie je?</th><th>Oorzaak</th><th>Oplossing</th></tr></thead>
+  <tbody>
+    <tr><td>"insufficient authentication scopes" bij het tonen</td><td><em>gmail.settings.basic</em> ontbreekt.</td><td>Stap 3.</td></tr>
+    <tr><td>"unauthorized_client" / Google weigert de toegang</td><td><em>gmail.settings.sharing</em> ontbreekt of is nog niet toegepast.</td>
+        <td>Stap 3, en enkele minuten wachten.</td></tr>
+    <tr><td>Gmail API has not been used / is disabled</td><td>Gmail API staat uit in het Cloud-project.</td><td>Stap 2.</td></tr>
+    <tr><td>Toevoegen mislukt voor één persoon, voor anderen lukt het</td>
+        <td>Maildelegatie staat uit in de OU van die mailbox-eigenaar, of er zijn al 25 gedelegeerden.</td><td>Stap 1 voor die OU.</td></tr>
+    <tr><td>Gedelegeerde ziet de mailbox niet</td><td>Nog niet toegepast, of hij kijkt niet via zijn profielfoto.</td>
+        <td>Even wachten, opnieuw inloggen in Gmail.</td></tr>
+  </tbody>
+</table>
+"""
+
+GOOGLE_KOPPELING = """
+<p>PIVOT praat met Google via een <strong>serviceaccount</strong>: een technisch account in Google Cloud dat namens een beheerder
+(bv. <code>ict@school.be</code>) handelt. Daarvoor zijn er drie plaatsen: <strong>Google Cloud Console</strong> (project, API's,
+serviceaccount, sleutel), <strong>Google Admin</strong> (domeinbrede delegatie) en <strong>PIVOT</strong> (sleutel uploaden).
+Optioneel stel je ook <strong>Inloggen met Google</strong> in.</p>
+
+<div class="info"><strong>Wie?</strong> Je hebt een account nodig dat in Google Cloud projecten mag aanmaken en in Google Admin
+<strong>superbeheerder</strong> is. Je doet dit één keer; meerdere scholen in hetzelfde Google-domein mogen dezelfde sleutel gebruiken.</div>
+
+<h2 id="stap-1">Stap 1 – Project aanmaken</h2>
+<ol>
+  <li>Ga naar <a href="https://console.cloud.google.com" target="_blank">console.cloud.google.com</a> en log in met je beheerdersaccount.</li>
+  <li>Klik bovenaan op de projectkiezer › <strong>Nieuw project</strong>.</li>
+  <li>Naam: bv. <code>PIVOT</code>. Organisatie: jullie domein. Klik op <strong>Maken</strong>.</li>
+  <li>Controleer bovenaan dat het nieuwe project gekozen is voor je verder gaat.</li>
+</ol>
+
+<h2 id="stap-2">Stap 2 – API's inschakelen</h2>
+<p>Ga naar <strong>API's en services › Bibliotheek</strong>, zoek elke API en klik op <strong>Inschakelen</strong>:</p>
+<table>
+  <thead><tr><th>API</th><th>Nodig voor</th></tr></thead>
+  <tbody>
+    <tr><td><strong>Admin SDK API</strong></td><td>Gebruikers, wachtwoorden, OU's, Chromebooks, groepen, 2FA</td></tr>
+    <tr><td><strong>Gmail API</strong></td><td>Mailbox-delegatie</td></tr>
+    <tr><td><strong>Enterprise License Manager API</strong></td><td>Google-licenties</td></tr>
+    <tr><td><strong>Groups Settings API</strong></td><td>Verzendlijsten: wie mag mailen naar de lijst</td></tr>
+  </tbody>
+</table>
+
+<h2 id="stap-3">Stap 3 – Serviceaccount aanmaken</h2>
+<ol>
+  <li>Ga naar <strong>IAM en beheer › Serviceaccounts</strong> › <strong>Serviceaccount maken</strong>.</li>
+  <li>Naam: bv. <code>pivot</code>. Klik op <strong>Maken en doorgaan</strong>.</li>
+  <li>De stappen "Rollen" en "Gebruikerstoegang" laat je <strong>leeg</strong> (PIVOT werkt via domeinbrede delegatie, niet via
+      Cloud-rollen). Klik op <strong>Klaar</strong>.</li>
+  <li>Open het serviceaccount en noteer de <strong>Unieke ID</strong> (een lang getal, ook "OAuth 2-client-ID" genoemd).
+      Die heb je nodig in stap 5.</li>
+</ol>
+
+<h2 id="stap-4">Stap 4 – JSON-sleutel maken</h2>
+<ol>
+  <li>Open het serviceaccount › tabblad <strong>Sleutels</strong> › <strong>Sleutel toevoegen › Nieuwe sleutel maken</strong>.</li>
+  <li>Kies <strong>JSON</strong> › <strong>Maken</strong>. Het bestand wordt gedownload.</li>
+  <li>Bewaar het veilig: wie dit bestand heeft, kan alles wat PIVOT kan. Verwijder het van je pc na stap 6.</li>
+</ol>
+<div class="let-op"><strong>"Het maken van serviceaccountsleutels is uitgeschakeld"?</strong> Nieuwe Google Cloud-organisaties blokkeren
+sleutels standaard met de organisatiebeleidsregel <code>iam.disableServiceAccountKeyCreation</code>
+(of <code>iam.managed.disableServiceAccountKeyCreation</code>). Zet ze uit voor <strong>enkel dit project</strong>:
+<ol>
+  <li>Geef jezelf op organisatieniveau de rol <strong>Beheerder van organisatiebeleid</strong> (Organization Policy Administrator)
+      via IAM en beheer › IAM (kies bovenaan de organisatie, niet het project).</li>
+  <li>Kies bovenaan opnieuw het project PIVOT › <strong>IAM en beheer › Organisatiebeleid</strong>.</li>
+  <li>Zoek <code>disableServiceAccountKeyCreation</code> › <strong>Beleid beheren</strong> › <strong>Beleid van bovenliggend item
+      overschrijven</strong> › regel toevoegen › <strong>Afdwingen: Uit</strong> › <strong>Beleid instellen</strong>.</li>
+  <li>Wacht enkele minuten (soms tot een uur) en probeer stap 4 opnieuw.</li>
+</ol>
+</div>
+
+<h2 id="stap-5">Stap 5 – Domeinbrede delegatie in Google Admin</h2>
+<ol>
+  <li>Ga naar <a href="https://admin.google.com" target="_blank">admin.google.com</a> › <strong>Beveiliging › Toegangs- en
+      gegevensbeheer › API-beheer</strong> › <strong>Domeinbrede delegatie beheren</strong>.</li>
+  <li>Klik op <strong>Nieuwe toevoegen</strong>.</li>
+  <li>Client-ID: de <strong>Unieke ID</strong> uit stap 3 (PIVOT toont ze ook na het uploaden van de sleutel).</li>
+  <li>OAuth-bereiken: plak deze regel in zijn geheel:
+<pre><code>https://www.googleapis.com/auth/admin.directory.user,https://www.googleapis.com/auth/admin.directory.user.security,https://www.googleapis.com/auth/admin.directory.group.member,https://www.googleapis.com/auth/admin.directory.orgunit,https://www.googleapis.com/auth/admin.directory.device.chromeos,https://www.googleapis.com/auth/admin.directory.device.chromeos.readonly,https://www.googleapis.com/auth/admin.directory.device.mobile,https://www.googleapis.com/auth/admin.directory.device.mobile.readonly,https://www.googleapis.com/auth/apps.licensing,https://www.googleapis.com/auth/gmail.settings.sharing,https://www.googleapis.com/auth/gmail.settings.basic,https://www.googleapis.com/auth/admin.directory.group,https://www.googleapis.com/auth/apps.groups.settings,https://www.googleapis.com/auth/gmail.modify,https://www.googleapis.com/auth/contacts,https://www.googleapis.com/auth/drive</code></pre>
+  </li>
+  <li>Klik op <strong>Autoriseren</strong>. Het kan enkele minuten duren voor Google dit toepast.</li>
+</ol>
+<table>
+  <thead><tr><th>Scope (zonder https://www.googleapis.com/auth/)</th><th>Waarvoor in PIVOT</th></tr></thead>
+  <tbody>
+    <tr><td><code>admin.directory.user</code></td><td>Accounts aanmaken, wachtwoord resetten, leerlingen</td></tr>
+    <tr><td><code>admin.directory.user.security</code></td><td>2FA: back-upcodes, 2FA resetten</td></tr>
+    <tr><td><code>admin.directory.group.member</code></td><td>2FA-uitzonderingsgroep</td></tr>
+    <tr><td><code>admin.directory.orgunit</code></td><td>Organisatie-eenheden</td></tr>
+    <tr><td><code>admin.directory.device.chromeos</code> (+ <code>.readonly</code>)</td><td>Chromebooks blokkeren/deblokkeren, opzoeken</td></tr>
+    <tr><td><code>admin.directory.device.mobile</code> (+ <code>.readonly</code>)</td><td>Mobiele toestellen</td></tr>
+    <tr><td><code>apps.licensing</code></td><td>Google-licenties</td></tr>
+    <tr><td><code>gmail.settings.sharing</code></td><td>Mailbox-delegatie toevoegen/verwijderen</td></tr>
+    <tr><td><code>gmail.settings.basic</code></td><td>Mailbox-delegaties tonen, Gmail-handtekeningen instellen</td></tr>
+    <tr><td><code>gmail.modify</code></td><td>E-mails met een label kopiëren/verplaatsen naar een andere mailbox</td></tr>
+    <tr><td><code>drive</code></td><td>Gedeelde drives: overzicht, leden en rechten (Google Drive API moet aanstaan)</td></tr>
+    <tr><td><code>contacts</code></td><td>Contactlijsten in de mailboxen van gebruikers (People API moet aanstaan)</td></tr>
+  </tbody>
+</table>
+<div class="tip"><strong>Tip:</strong> Bestaat er al een regel voor deze client-ID, klik dan op <strong>Bewerken</strong> en
+vervang de lijst; anders heb je er twee.</div>
+
+<h2 id="stap-6">Stap 6 – Sleutel en beheerder instellen in PIVOT</h2>
+<ol>
+  <li>Open in PIVOT <strong>🏫 Alle scholen beheren</strong> › de school › <strong>Bewerken</strong>
+      (of <strong>🔌 Koppelingen van deze school</strong>).</li>
+  <li>Bij <strong>Algemeen › Beheerder (Google-admin)</strong>: het account waarnamens PIVOT werkt, bv. <code>ict@school.be</code>.
+      Dit moet een <strong>superbeheerder</strong> zijn (of een beheerder met de nodige rechten) in Google Admin.</li>
+  <li>Bij <strong>🔑 Google Workspace › Serviceaccount (JSON-sleutel)</strong>: upload het JSON-bestand uit stap 4.
+      PIVOT bewaart het versleuteld en toont daarna het e-mailadres en de client-ID van het serviceaccount.</li>
+  <li>Opslaan, en daarna op <strong>🩺 Testen</strong> klikken. Alles in orde? Verwijder het JSON-bestand van je pc.</li>
+</ol>
+
+<h2 id="stap-7">Stap 7 (optioneel) – Inloggen met Google</h2>
+<p>Hiermee loggen leerkrachten en PIVOT-gebruikers in met hun Google-account in plaats van een wachtwoord.</p>
+<ol>
+  <li>In de Cloud Console (zelfde project): <strong>API's en services › OAuth-toestemmingsscherm</strong>
+      (in de nieuwe versie: <strong>Google Auth Platform › Branding</strong>). Kies als doelgroep <strong>Intern</strong>,
+      app-naam <code>PIVOT</code>, ondersteunings-e-mail en je ontwikkelaarsadres. Opslaan.</li>
+  <li><strong>Inloggegevens</strong> (of Google Auth Platform › <strong>Clients</strong>) › <strong>Inloggegevens maken › OAuth-client-ID</strong>.</li>
+  <li>Type: <strong>Webapplicatie</strong>, naam <code>PIVOT login</code>.</li>
+  <li>Bij <strong>Geautoriseerde omleidings-URI's</strong>: het adres van PIVOT + <code>/callback</code>,
+      bv. <code>https://pivot.school.be/callback</code>. Gebruik je meerdere adressen (per school een eigen hostnaam), voeg ze allemaal toe.</li>
+  <li>Klik op <strong>Maken</strong> en kopieer de <strong>client-ID</strong> en het <strong>clientgeheim</strong>.</li>
+  <li>In PIVOT: vul ze in bij de school onder <strong>🔑 Google Workspace › Google-login client-ID / client-secret</strong>,
+      of één keer voor alle scholen in <code>config.ini</code> onder <code>[google_sso]</code>.</li>
+</ol>
+
+<h2 id="problemen">Problemen oplossen</h2>
+<table>
+  <thead><tr><th>Wat zie je?</th><th>Oorzaak</th><th>Oplossing</th></tr></thead>
+  <tbody>
+    <tr><td><code>unauthorized_client</code> / "Client is unauthorized to retrieve access tokens"</td>
+        <td>Client-ID of scope ontbreekt in de domeinbrede delegatie, of nog niet toegepast.</td>
+        <td>Stap 5 nakijken (juiste Unieke ID, alle scopes), enkele minuten wachten.</td></tr>
+    <tr><td>"Invalid Input" / "Not Authorized to access this resource"</td>
+        <td>Het beheerdersaccount klopt niet of is geen beheerder.</td><td>Stap 6, Beheerder (Google-admin).</td></tr>
+    <tr><td>"&lt;API&gt; has not been used in project … or it is disabled"</td>
+        <td>De API staat niet aan.</td><td>Stap 2, in het juiste project.</td></tr>
+    <tr><td>"insufficient authentication scopes"</td><td>Eén scope ontbreekt (vaak een Gmail-scope).</td><td>Stap 5.</td></tr>
+    <tr><td>"redirect_uri_mismatch" bij inloggen met Google</td>
+        <td>Het adres van PIVOT staat niet bij de omleidings-URI's.</td>
+        <td>Stap 7.4: exact hetzelfde adres (https, hostnaam, <code>/callback</code>).</td></tr>
+    <tr><td>Sleutel maken lukt niet</td><td>Organisatiebeleid blokkeert sleutels.</td><td>Kader bij stap 4.</td></tr>
+  </tbody>
+</table>
+"""
+
+STANDAARD = [
+    {
+        'slug': 'google-koppeling-cloud-console',
+        'titel': 'Google-koppeling instellen (Google Cloud Console)',
+        'categorie': 'Google Workspace',
+        'samenvatting': 'Project, API\'s, serviceaccount en JSON-sleutel, domeinbrede delegatie met alle scopes, '
+                        'sleutel in PIVOT en inloggen met Google.',
+        'inhoud': GOOGLE_KOPPELING,
+    },
+    {
+        'slug': '2fa-uitzondering-google-admin',
+        'titel': '2FA-uitzondering instellen in Google Admin',
+        'categorie': 'Google Workspace',
+        'samenvatting': 'Groep 2fa-uitzondering aanmaken, 2FA uitzetten per OU, rechten voor PIVOT en testen.',
+        'inhoud': TWEESTAPS_UITZONDERING,
+    },
+    {
+        'slug': 'mailbox-delegatie-google-admin',
+        'titel': 'Mailbox-delegatie instellen in Google Admin',
+        'categorie': 'Google Workspace',
+        'samenvatting': 'Maildelegatie toelaten per OU, Gmail API, scopes voor PIVOT en testen.',
+        'inhoud': MAIL_DELEGATIE,
+    },
+]
diff --git a/services/handtekening_service.py b/services/handtekening_service.py
new file mode 100644
index 0000000..8acf7cd
--- /dev/null
+++ b/services/handtekening_service.py
@@ -0,0 +1,443 @@
+"""
+Gmail › Handtekeningen: één HTML-sjabloon per school, ingevuld per gebruiker en ingesteld in Gmail.
+
+- Gebruikers: alle accounts in de gekozen OU's (Directory API, optioneel met de onderliggende OU's).
+- Functie en telefoon komen uit Google (gebruikersprofiel: organizations[].title en phones[]) en worden daar ook
+  bewaard als je ze in PIVOT aanpast. Zo staan ze ook in het adresboek van de organisatie.
+- Toepassen: Gmail API users.settings.sendAs.patch(signature) namens de gebruiker, voor het hoofdadres en de aliassen.
+- Logo: geüpload in PIVOT (publiek op /handtekening-logo/<school>/<sleutel>) of een eigen publieke link.
+  Gmail toont geen ingesloten (base64) afbeeldingen in handtekeningen, enkel afbeeldingen via een link.
+- Nachtelijk opnieuw toepassen (schakelaar): gebruikers kunnen hun handtekening in Gmail zelf wijzigen,
+  zo staat de juiste er de volgende ochtend terug.
+
+Vereist (domeinbrede delegatie): https://www.googleapis.com/auth/gmail.settings.basic
+en voor functie/telefoon https://www.googleapis.com/auth/admin.directory.user (staat al in de standaardlijst).
+"""
+import hashlib
+import html
+import json
+import re
+import secrets
+import sys
+import threading
+import time
+from datetime import datetime
+
+from config import Config
+from database import execute_query
+from tenancy import school_singleton, met_school, google_credentials, huidige_school
+
+SCOPE = 'https://www.googleapis.com/auth/gmail.settings.basic'
+MAX_TEKENS = 10000                  # limiet van Gmail voor een handtekening
+MAX_LOGO = 512 * 1024
+LOGO_TYPES = {'image/png': 'png', 'image/jpeg': 'jpg', 'image/gif': 'gif'}
+NACHT_UUR_VAN, NACHT_UUR_TOT = 3, 6
+
+VELDEN = [  # (sleutel, uitleg)
+    ('voornaam', 'Voornaam'), ('achternaam', 'Achternaam'), ('naam', 'Voornaam en achternaam'),
+    ('functie', 'Functie (uit Google)'), ('telefoon', 'Telefoon (uit Google)'), ('email', 'E-mailadres'),
+    ('schoolnaam', 'Naam van de school'), ('schooladres', 'Adres van de school'), ('logo', 'Logo (afbeelding)'),
+]
+
+STANDAARD_SJABLOON = """<table cellpadding="0" cellspacing="0" style="font-family:Arial,Helvetica,sans-serif;font-size:13px;color:#1f2937">
+<tr>
+<td style="padding-right:14px;vertical-align:top">{logo}</td>
+<td style="border-left:2px solid #1d6fa5;padding-left:14px;vertical-align:top">
+<div style="font-size:15px;font-weight:bold;color:#1d6fa5">{voornaam} {achternaam}</div>
+{#functie}<div style="color:#4b5563">{functie}</div>{/functie}
+<div style="margin-top:6px;font-weight:bold">{schoolnaam}</div>
+<div>{schooladres}</div>
+{#telefoon}<div>Tel. {telefoon}</div>{/telefoon}
+<div><a href="mailto:{email}" style="color:#1d6fa5;text-decoration:none">{email}</a></div>
+</td>
+</tr>
+</table>"""
+
+
+class HandtekeningFout(Exception):
+    pass
+
+
+# ---------------------------------------------------------------------
+# Opslag (database van de school)
+# ---------------------------------------------------------------------
+def ensure_tables():
+    execute_query("""
+        CREATE TABLE IF NOT EXISTS gmail_handtekening (
+            ID            TINYINT      NOT NULL PRIMARY KEY,
+            Sjabloon      MEDIUMTEXT   NULL,
+            OUs           TEXT         NULL,
+            Met_sub_ous   TINYINT      NOT NULL DEFAULT 1,
+            Logo          MEDIUMBLOB   NULL,
+            Logo_type     VARCHAR(40)  NULL,
+            Logo_sleutel  VARCHAR(40)  NULL,
+            Logo_url      VARCHAR(500) NULL,
+            Logo_breedte  INT          NOT NULL DEFAULT 120,
+            Publiek_adres VARCHAR(255) NULL,
+            Nachtelijk    TINYINT      NOT NULL DEFAULT 0,
+            Laatste_nacht DATE         NULL,
+            Nacht_resultaat VARCHAR(500) NULL,
+            Bijgewerkt    DATETIME     NULL,
+            Door          VARCHAR(255) NULL
+        ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci""", commit=True)
+    execute_query("""
+        CREATE TABLE IF NOT EXISTS gmail_handtekening_log (
+            Email      VARCHAR(255) NOT NULL PRIMARY KEY,
+            Toegepast  DATETIME     NOT NULL,
+            Ok         TINYINT      NOT NULL,
+            Melding    VARCHAR(500) NULL,
+            Hash       CHAR(40)     NULL,
+            Door       VARCHAR(255) NULL
+        ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci""", commit=True)
+    execute_query("INSERT IGNORE INTO gmail_handtekening (ID, Sjabloon) VALUES (1, %s)", (STANDAARD_SJABLOON,), commit=True)
+
+
+def instellingen():
+    ensure_tables()
+    r = (execute_query("SELECT ID, Sjabloon, OUs, Met_sub_ous, Logo_type, Logo_sleutel, Logo_url, Logo_breedte, "
+                       "Publiek_adres, Nachtelijk, Laatste_nacht, Nacht_resultaat, Bijgewerkt, Door, "
+                       "Logo IS NOT NULL AS heeft_logo FROM gmail_handtekening WHERE ID = 1") or [{}])[0]
+    try:
+        r['ous'] = [o for o in json.loads(r.get('OUs') or '[]') if isinstance(o, str)]
+    except ValueError:
+        r['ous'] = []
+    r['logo_link'] = logo_link(r)
+    return r
+
+
+def bewaar(sjabloon, ous, met_sub, logo_url, logo_breedte, publiek_adres, door):
+    sjabloon = (sjabloon or '').strip()
+    if len(sjabloon) > 50000:
+        raise HandtekeningFout("Het sjabloon is te lang.")
+    execute_query("UPDATE gmail_handtekening SET Sjabloon = %s, OUs = %s, Met_sub_ous = %s, Logo_url = %s, "
+                  "Logo_breedte = %s, Publiek_adres = %s, Bijgewerkt = NOW(), Door = %s WHERE ID = 1",
+                  (sjabloon, json.dumps(sorted(set(ous))), 1 if met_sub else 0, (logo_url or '').strip() or None,
+                   max(20, min(600, int(logo_breedte or 120))), (publiek_adres or '').strip().rstrip('/') or None, door),
+                  commit=True)
+
+
+def bewaar_logo(data, mimetype):
+    if mimetype not in LOGO_TYPES:
+        raise HandtekeningFout("Enkel PNG, JPG of GIF als logo.")
+    if len(data) > MAX_LOGO:
+        raise HandtekeningFout(f"Het logo is te groot (max. {MAX_LOGO // 1024} kB).")
+    execute_query("UPDATE gmail_handtekening SET Logo = %s, Logo_type = %s, Logo_sleutel = %s WHERE ID = 1",
+                  (data, mimetype, secrets.token_hex(12)), commit=True)
+
+
+def verwijder_logo():
+    execute_query("UPDATE gmail_handtekening SET Logo = NULL, Logo_type = NULL, Logo_sleutel = NULL WHERE ID = 1",
+                  commit=True)
+
+
+def logo_bestand(sleutel):
+    ensure_tables()
+    r = execute_query("SELECT Logo, Logo_type FROM gmail_handtekening WHERE ID = 1 AND Logo_sleutel = %s", (sleutel,))
+    return (r[0]['Logo'], r[0]['Logo_type']) if r and r[0]['Logo'] else (None, None)
+
+
+def logo_link(inst):
+    """Publieke link naar het logo: eigen link, of het geüploade logo via PIVOT."""
+    if inst.get('Logo_url'):
+        return inst['Logo_url']
+    if inst.get('heeft_logo') and inst.get('Logo_sleutel') and inst.get('Publiek_adres'):
+        ext = LOGO_TYPES.get(inst.get('Logo_type'), 'png')
+        return f"{inst['Publiek_adres']}/handtekening-logo/{huidige_school().code}/{inst['Logo_sleutel']}.{ext}"
+    return ''
+
+
+def zet_nacht(aan, door):
+    execute_query("UPDATE gmail_handtekening SET Nachtelijk = %s, Door = %s WHERE ID = 1", (1 if aan else 0, door),
+                  commit=True)
+
+
+def logboek():
+    ensure_tables()
+    return {r['Email'].lower(): r for r in execute_query("SELECT * FROM gmail_handtekening_log") or []}
+
+
+# ---------------------------------------------------------------------
+# Sjabloon invullen
+# ---------------------------------------------------------------------
+def gegevens(gebruiker):
+    s = huidige_school()
+    return {'voornaam': gebruiker.get('voornaam', ''), 'achternaam': gebruiker.get('achternaam', ''),
+            'naam': f"{gebruiker.get('voornaam', '')} {gebruiker.get('achternaam', '')}".strip(),
+            'functie': gebruiker.get('functie', ''), 'telefoon': gebruiker.get('telefoon', ''),
+            'email': gebruiker.get('email', ''), 'schoolnaam': s.naam or '', 'schooladres': s.get('ADRES') or ''}
+
+
+def vul_in(sjabloon, waarden, inst):
+    """{veld} → waarde (HTML-veilig); {#veld}...{/veld} valt weg als het veld leeg is; {logo} → <img>."""
+    def blok(m):
+        return m.group(2) if (waarden.get(m.group(1)) or '').strip() or (m.group(1) == 'logo' and inst['logo_link']) else ''
+    uit = re.sub(r'\{#(\w+)\}(.*?)\{/\1\}', blok, sjabloon or '', flags=re.S)
+    link = inst.get('logo_link') or ''
+    logo = (f'<img src="{html.escape(link)}" width="{int(inst.get("Logo_breedte") or 120)}" alt="{html.escape(waarden.get("schoolnaam", ""))}" '
+            f'style="display:block;border:0;max-width:100%;height:auto">') if link else ''
+
+    def veld(m):
+        k = m.group(1)
+        if k == 'logo':
+            return logo
+        if k in waarden:
+            w = html.escape(waarden[k] or '')
+            return w.replace('\n', '<br>') if k == 'schooladres' else w
+        return m.group(0)
+    return re.sub(r'\{(\w+)\}', veld, uit)
+
+
+# ---------------------------------------------------------------------
+# Google: gebruikers, functie en telefoon
+# ---------------------------------------------------------------------
+def _directory():
+    from googleapiclient.discovery import build
+    creds = google_credentials(Config.GOOGLE_API_SCOPES, subject=Config.GOOGLE_ADMIN_EMAIL)
+    return build('admin', 'directory_v1', credentials=creds, static_discovery=False, cache_discovery=False)
+
+
+def _gmail(mailbox):
+    from googleapiclient.discovery import build
+    creds = google_credentials([SCOPE], subject=mailbox)
+    try:
+        return build('gmail', 'v1', credentials=creds, static_discovery=True, cache_discovery=False)
+    except Exception:
+        return build('gmail', 'v1', credentials=creds, static_discovery=False, cache_discovery=False)
+
+
+def vriendelijk(e):
+    t = str(e)
+    laag = t.lower()
+    if 'unauthorized_client' in laag or 'access_denied' in laag:
+        return (f"Google weigert de toegang: voeg in de Admin-console › Beveiliging › API-beheer › Domeinbrede delegatie "
+                f"het bereik {SCOPE} toe bij het serviceaccount van PIVOT.")
+    if 'has not been used' in laag or 'is disabled' in laag or 'accessnotconfigured' in laag:
+        return "De Gmail API staat niet aan in het Google Cloud-project van het serviceaccount."
+    if 'mail service not enabled' in laag or 'failedprecondition' in laag:
+        return "Deze gebruiker heeft geen Gmail (geen licentie of Gmail uitgeschakeld)."
+    if 'not authorized to access this resource' in laag or 'insufficient' in laag:
+        return "Google weigert het: de beheerder mag deze gebruiker niet aanpassen (scope admin.directory.user?)."
+    return t[:250]
+
+
+def ou_lijst():
+    try:
+        resp = _directory().orgunits().list(customerId='my_customer', type='all').execute()
+    except Exception as e:
+        raise HandtekeningFout(f"OU's ophalen mislukt: {vriendelijk(e)}")
+    return sorted([o['orgUnitPath'] for o in resp.get('organizationUnits', [])] + ['/'], key=str.lower)
+
+
+def _functie(u):
+    orgs = u.get('organizations') or []
+    org = next((o for o in orgs if o.get('primary')), orgs[0] if orgs else {})
+    return (org.get('title') or '').strip()
+
+
+def _telefoon(u):
+    tel = u.get('phones') or []
+    t = next((p for p in tel if p.get('type') == 'work'), None) or next((p for p in tel if p.get('primary')), None) \
+        or (tel[0] if tel else {})
+    return (t.get('value') or '').strip()
+
+
+def gebruikers(ous, met_sub=True):
+    """Alle (niet-geschorste) gebruikers in de OU's: [{'email','voornaam','achternaam','ou','functie','telefoon'}]."""
+    if not ous:
+        return []
+    api, uit, gezien = _directory(), [], set()
+    for ou in ous:
+        token = None
+        while True:
+            try:
+                params = dict(customer='my_customer', maxResults=500, pageToken=token, projection='full',
+                              fields='nextPageToken,users(primaryEmail,name,orgUnitPath,organizations,phones,suspended,archived)')
+                if ou != '/':
+                    params['query'] = "orgUnitPath='" + ou.replace("\\", "\\\\").replace("'", "\\'") + "'"
+                resp = api.users().list(**params).execute()
+            except Exception as e:
+                raise HandtekeningFout(f"Gebruikers van {ou} ophalen mislukt: {vriendelijk(e)}")
+            for u in resp.get('users', []):
+                pad = u.get('orgUnitPath') or '/'
+                if not met_sub and pad != ou:
+                    continue
+                if u.get('suspended') or u.get('archived'):
+                    continue
+                email = u['primaryEmail'].lower()
+                if email in gezien:
+                    continue
+                gezien.add(email)
+                n = u.get('name') or {}
+                uit.append({'email': email, 'voornaam': n.get('givenName', ''), 'achternaam': n.get('familyName', ''),
+                            'ou': pad, 'functie': _functie(u), 'telefoon': _telefoon(u)})
+            token = resp.get('nextPageToken')
+            if not token:
+                break
+    return sorted(uit, key=lambda x: (x['achternaam'].lower(), x['voornaam'].lower()))
+
+
+def bewaar_in_google(email, functie, telefoon):
+    """Functie (primaire organisatie) en werktelefoon van een gebruiker in Google aanpassen; de rest blijft."""
+    api = _directory()
+    try:
+        u = api.users().get(userKey=email, projection='full', fields='organizations,phones').execute()
+        orgs = u.get('organizations') or []
+        org = next((o for o in orgs if o.get('primary')), orgs[0] if orgs else None)
+        if org is None:
+            if functie:
+                orgs = [{'title': functie, 'primary': True, 'customType': ''}]
+        else:
+            org['title'] = functie
+        tel = [p for p in (u.get('phones') or []) if p.get('type') != 'work']
+        if telefoon:
+            tel.insert(0, {'value': telefoon, 'type': 'work', 'primary': not any(p.get('primary') for p in tel)})
+        api.users().patch(userKey=email, body={'organizations': orgs, 'phones': tel or []}).execute()
+    except Exception as e:
+        raise HandtekeningFout(f"{email}: {vriendelijk(e)}")
+
+
+def pas_toe(gebruiker, inst, door=None, alleen_gewijzigd=False):
+    """Zet de handtekening voor het hoofdadres en de aliassen. Geeft 'ok' / 'ongewijzigd' of gooit HandtekeningFout."""
+    tekst = vul_in(inst.get('Sjabloon') or '', gegevens(gebruiker), inst)
+    if len(tekst) > MAX_TEKENS:
+        raise HandtekeningFout(f"De handtekening is te lang voor Gmail ({len(tekst)} tekens, max. {MAX_TEKENS}).")
+    h = hashlib.sha1(tekst.encode('utf-8')).hexdigest()
+    email = gebruiker['email']
+    if alleen_gewijzigd:
+        oud = execute_query("SELECT Hash, Ok FROM gmail_handtekening_log WHERE Email = %s", (email,))
+        if oud and oud[0]['Ok'] and oud[0]['Hash'] == h and _huidige_in_gmail_gelijk(email, tekst):
+            return 'ongewijzigd'
+    try:
+        g = _gmail(email)
+        adressen = g.users().settings().sendAs().list(userId='me').execute().get('sendAs', [])
+        for a in adressen:
+            if a.get('isPrimary') or a.get('verificationStatus') == 'accepted' or a.get('treatAsAlias'):
+                g.users().settings().sendAs().patch(userId='me', sendAsEmail=a['sendAsEmail'],
+                                                    body={'signature': tekst}).execute()
+        melding, ok = None, 1
+    except Exception as e:
+        melding, ok = vriendelijk(e), 0
+    execute_query("INSERT INTO gmail_handtekening_log (Email, Toegepast, Ok, Melding, Hash, Door) "
+                  "VALUES (%s, NOW(), %s, %s, %s, %s) ON DUPLICATE KEY UPDATE Toegepast = NOW(), Ok = VALUES(Ok), "
+                  "Melding = VALUES(Melding), Hash = VALUES(Hash), Door = VALUES(Door)",
+                  (email, ok, melding, h if ok else None, door), commit=True)
+    if not ok:
+        raise HandtekeningFout(melding)
+    return 'ok'
+
+
+def _huidige_in_gmail_gelijk(email, tekst):
+    """Staat de handtekening nog ongewijzigd in Gmail? (De gebruiker kan ze zelf aangepast hebben.)"""
+    try:
+        for a in _gmail(email).users().settings().sendAs().list(userId='me').execute().get('sendAs', []):
+            if a.get('isPrimary'):
+                gewoon = lambda x: re.sub(r'\s+', '', html.unescape(x or '')).lower()
+                return gewoon(a.get('signature')) == gewoon(tekst)
+    except Exception:
+        pass
+    return False
+
+
+# ---------------------------------------------------------------------
+# Toepassen op de achtergrond (met voortgang)
+# ---------------------------------------------------------------------
+class Toepasser:
+    def __new__(cls):
+        def init(inst):
+            inst._lock = threading.Lock()
+            inst.status = {'bezig': False, 'voortgang': 0, 'totaal': 0, 'gelukt': 0, 'ongewijzigd': 0, 'fouten': 0,
+                           'fout': None, 'resultaat': None, 'foutvoorbeelden': []}
+        return school_singleton(cls, init)
+
+    def run(self, emails=None, door=None, alleen_gewijzigd=False):
+        if not self._lock.acquire(blocking=False):
+            return False, "Er loopt al een opdracht."
+        s = self.status
+        try:
+            s.update(bezig=True, voortgang=0, totaal=0, gelukt=0, ongewijzigd=0, fouten=0, fout=None, resultaat=None,
+                     foutvoorbeelden=[])
+            inst = instellingen()
+            lijst = gebruikers(inst['ous'], bool(inst.get('Met_sub_ous')))
+            if emails is not None:
+                kies = {e.lower() for e in emails}
+                lijst = [u for u in lijst if u['email'] in kies]
+            s['totaal'] = len(lijst)
+            for u in lijst:
+                try:
+                    if pas_toe(u, inst, door, alleen_gewijzigd) == 'ongewijzigd':
+                        s['ongewijzigd'] += 1
+                    else:
+                        s['gelukt'] += 1
+                except Exception as e:
+                    s['fouten'] += 1
+                    if len(s['foutvoorbeelden']) < 6:
+                        s['foutvoorbeelden'].append(f"{u['email']}: {str(e)[:180]}")
+                s['voortgang'] += 1
+            msg = f"Handtekening ingesteld voor {s['gelukt']} gebruiker(s)"
+            if s['ongewijzigd']:
+                msg += f", {s['ongewijzigd']} waren al in orde"
+            if s['fouten']:
+                msg += f", {s['fouten']} mislukt"
+            s['resultaat'] = msg + '.'
+            return True, s['resultaat']
+        except Exception as e:
+            s['fout'] = str(e)[:400]
+            return False, s['fout']
+        finally:
+            s['bezig'] = False
+            self._lock.release()
+
+    def start(self, emails=None, door=None):
+        if self.status['bezig']:
+            return False
+        self.status.update(bezig=True, voortgang=0, totaal=0, fout=None, resultaat=None)
+        threading.Thread(target=met_school(lambda: self.run(emails, door)), daemon=True).start()
+        return True
+
+
+# ---------------------------------------------------------------------
+# Nachtelijk opnieuw toepassen (per school met de schakelaar aan)
+# ---------------------------------------------------------------------
+def _nacht_claim(vandaag):
+    return execute_query("UPDATE gmail_handtekening SET Laatste_nacht = %s WHERE ID = 1 AND Nachtelijk = 1 "
+                         "AND (Laatste_nacht IS NULL OR Laatste_nacht < %s)", (vandaag, vandaag), commit=True) == 1
+
+
+def nacht_voor_alle_scholen():
+    from tenancy import alle_scholen, in_school
+    vandaag = datetime.now().strftime('%Y-%m-%d')
+    for school in alle_scholen():
+        if not school.google_sleutel:
+            continue
+        with in_school(school):
+            try:
+                ensure_tables()
+                if not _nacht_claim(vandaag):
+                    continue
+                ok, msg = Toepasser().run(door='PIVOT (nachtelijk)', alleen_gewijzigd=True)
+                execute_query("UPDATE gmail_handtekening SET Nacht_resultaat = %s WHERE ID = 1",
+                              (f"{datetime.now():%d-%m-%Y %H:%M}: {msg}"[:500],), commit=True)
+            except Exception as e:
+                sys.stderr.write(f"Handtekeningen nachtelijk ({school.code}): {e}\n")
+
+
+_thread = None
+
+
+def start_scheduler():
+    global _thread
+    if _thread:
+        return
+
+    def loop():
+        time.sleep(90)
+        while True:
+            try:
+                if NACHT_UUR_VAN <= datetime.now().hour < NACHT_UUR_TOT:
+                    nacht_voor_alle_scholen()
+            except Exception as e:
+                sys.stderr.write(f"Handtekeningen nachtelijke taak: {e}\n")
+            time.sleep(15 * 60)
+
+    _thread = threading.Thread(target=loop, daemon=True)
+    _thread.start()
diff --git a/services/html_schoon.py b/services/html_schoon.py
new file mode 100644
index 0000000..4520acc
--- /dev/null
+++ b/services/html_schoon.py
@@ -0,0 +1,115 @@
+"""
+Maakt HTML uit de handleiding-editor veilig: enkel een vaste lijst tags en attributen blijft over.
+Scripts, event-handlers (onclick, ...), stijlen en javascript:-links verdwijnen.
+"""
+from html import escape
+from html.parser import HTMLParser
+
+TOEGELATEN = {
+    'p': (), 'br': (), 'hr': (), 'div': (), 'span': (),
+    'h2': ('id',), 'h3': ('id',), 'h4': ('id',),
+    'strong': (), 'b': (), 'em': (), 'i': (), 'u': (), 's': (), 'mark': (), 'kbd': (), 'sub': (), 'sup': (),
+    'ul': (), 'ol': ('start',), 'li': (),
+    'blockquote': (), 'code': (), 'pre': (),
+    'a': ('href', 'title', 'target'),
+    'img': ('src', 'alt', 'title', 'width'),
+    'table': (), 'thead': (), 'tbody': (), 'tr': (), 'th': ('colspan', 'rowspan'), 'td': ('colspan', 'rowspan'),
+    'figure': (), 'figcaption': (),
+}
+LEEG = {'br', 'hr', 'img'}
+KLASSEN = {'tip', 'let-op', 'info'}            # kaders in de editor
+WEGGOOIEN_MET_INHOUD = {'script', 'style', 'iframe', 'object', 'embed', 'noscript', 'template', 'svg', 'math'}
+# Word/Docs plakt deze tags; de inhoud blijft, de tag niet
+VERTALING = {'b': 'strong', 'i': 'em', 'h1': 'h2', 'h5': 'h4', 'h6': 'h4'}
+
+
+def _veilige_url(url, afbeelding=False):
+    u = (url or '').strip()
+    laag = u.lower().replace('\x00', '')
+    if afbeelding and laag.startswith('data:image/') and ';base64,' in laag and not laag.startswith('data:image/svg'):
+        return u
+    if laag.startswith(('http://', 'https://', '/', '#')) or (not afbeelding and laag.startswith('mailto:')):
+        return u
+    return None
+
+
+class _Schoonmaker(HTMLParser):
+    def __init__(self):
+        super().__init__(convert_charrefs=True)
+        self.uit = []
+        self.open = []
+        self.weg = 0
+
+    def handle_starttag(self, tag, attrs):
+        if tag in WEGGOOIEN_MET_INHOUD:
+            if tag not in LEEG:
+                self.weg += 1
+            return
+        if self.weg:
+            return
+        tag = VERTALING.get(tag, tag)
+        if tag not in TOEGELATEN:
+            return
+        delen = [tag]
+        for naam, waarde in attrs:
+            naam = (naam or '').lower()
+            if naam == 'class':
+                klassen = [k for k in (waarde or '').split() if k in KLASSEN]
+                if klassen:
+                    delen.append(f'class="{escape(" ".join(klassen))}"')
+                continue
+            if naam not in TOEGELATEN[tag]:
+                continue
+            if naam in ('href', 'src'):
+                waarde = _veilige_url(waarde, afbeelding=(naam == 'src'))
+                if waarde is None:
+                    continue
+            if naam == 'target':
+                waarde = '_blank'
+            if naam in ('width', 'colspan', 'rowspan', 'start') and not str(waarde or '').isdigit():
+                continue
+            delen.append(f'{naam}="{escape(waarde or "", quote=True)}"')
+        if tag == 'a' and any(d.startswith('target=') for d in delen):
+            delen.append('rel="noopener noreferrer"')
+        if tag == 'img' and not any(d.startswith('src=') for d in delen):
+            return
+        self.uit.append('<' + ' '.join(delen) + '>')
+        if tag not in LEEG:
+            self.open.append(tag)
+
+    def handle_startendtag(self, tag, attrs):
+        self.handle_starttag(tag, attrs)
+        tag = VERTALING.get(tag, tag)
+        if tag not in LEEG and self.open and self.open[-1] == tag:
+            self.handle_endtag(tag)
+
+    def handle_endtag(self, tag):
+        if tag in WEGGOOIEN_MET_INHOUD:
+            self.weg = max(0, self.weg - 1)
+            return
+        if self.weg:
+            return
+        tag = VERTALING.get(tag, tag)
+        if tag not in TOEGELATEN or tag in LEEG or tag not in self.open:
+            return
+        while self.open:
+            t = self.open.pop()
+            self.uit.append(f'</{t}>')
+            if t == tag:
+                break
+
+    def handle_data(self, data):
+        if not self.weg:
+            self.uit.append(escape(data, quote=False))
+
+    def resultaat(self):
+        while self.open:
+            self.uit.append(f'</{self.open.pop()}>')
+        return ''.join(self.uit)
+
+
+def schoon(html):
+    p = _Schoonmaker()
+    p.feed(html or '')
+    p.close()
+    return p.resultaat().strip()
diff --git a/services/internaat_service.py b/services/internaat_service.py
new file mode 100644
index 0000000..b0b6708
--- /dev/null
+++ b/services/internaat_service.py
@@ -0,0 +1,233 @@
+"""
+Internaat: de internen uit Informat (Internaat WEB API, versie 1).
+
+- Token: zelfde identityserver en client-ID/secret als de andere Informat-API's, scope
+      api_informat_sas_internaat.<instellingsnummer van het internaat>
+  (meerdere instellingsnummers mogen in één token, gescheiden door een spatie).
+- GET <API-URL>/pupils?schoolYear=2026-27&refdate=JJJJ-MM-DD  → de internen met hun gegevens, relaties, ...
+- GET <API-URL>/registrations?schoolYear=2026-27             → de inschrijvingen (internaat, vestiging, kamers, ...)
+  Headers: InstituteNo (instellingsnummer) en Api-Version: 1. 404 = geen gegevens.
+Het resultaat wordt 10 minuten per school, schooljaar en peildatum bewaard.
+"""
+import time
+from datetime import date
+
+import requests
+
+from config import Config
+
+CACHE_SECONDEN = 600
+TIMEOUT = (15, 180)
+STANDAARD_API = 'https://internaatapi.informatsoftware.be'
+STANDAARD_SCOPE = 'api_informat_sas_internaat'
+
+
+class InternaatFout(Exception):
+    pass
+
+
+def _datum(w):
+    if not w:
+        return None
+    try:
+        return date.fromisoformat(str(w)[:10])
+    except ValueError:
+        return None
+
+
+def _lopend(item, peildatum):
+    """Loopt dit (inschrijving of kamer) op de peildatum?"""
+    begin, einde = _datum(item.get('begindatum')), _datum(item.get('einddatum'))
+    return (not begin or begin <= peildatum) and (not einde or einde >= peildatum)
+
+
+class InternaatService:
+    def __init__(self):
+        from tenancy import huidige_school, informat_campussen
+        self.school = huidige_school()
+        self.base = (self.school.get('INFORMAT_INTERNAAT_API') or STANDAARD_API).rstrip('/')
+        scope = (self.school.get('INFORMAT_INTERNAAT_SCOPE') or STANDAARD_SCOPE).strip()
+        self.scope_basis = scope.rsplit('.', 1)[0] if scope.rsplit('.', 1)[-1].isdigit() else scope
+        # Instellingsnummer(s) van het internaat; leeg = die van de Informat-koppeling van de school
+        eigen = informat_campussen(self.school.waarden.get('INFORMAT_INTERNAAT_NUMMER'))
+        self.nummers = eigen or informat_campussen(self.school.waarden.get('INFORMAT_INST_NUMBER'))
+
+    # ---------------- authenticatie ----------------
+    def _token(self, nummer):
+        sleutel = ('internaat_token', nummer)
+        bewaard = self.school.cache.get(sleutel)
+        if bewaard and time.time() < bewaard[0]:
+            return bewaard[1]
+        scope = f"{self.scope_basis}.{nummer}"
+        try:
+            r = requests.post(Config.INFORMAT_AUTH_URL, data={
+                'grant_type': 'client_credentials', 'client_id': Config.INFORMAT_ID,
+                'client_secret': Config.INFORMAT_SECRET, 'scope': scope}, timeout=15)
+        except Exception as e:
+            raise InternaatFout(f"Informat (identityserver) is niet bereikbaar: {e}")
+        try:
+            js = r.json()
+        except Exception:
+            js = {}
+        if r.status_code != 200 or not js.get('access_token'):
+            fout = js.get('error') or f"HTTP {r.status_code}"
+            if fout == 'invalid_scope':
+                raise InternaatFout(f"Informat weigert de scope {scope} (invalid_scope). Heeft het internaat met "
+                                    f"instellingsnummer {nummer} in Informat de app toegang gegeven tot de Internaat-API? "
+                                    "Klopt het instellingsnummer van het internaat (Koppelingen › Informat)?")
+            if fout == 'invalid_client':
+                raise InternaatFout("Informat kent deze client-ID/secret niet (invalid_client). Kijk Koppelingen › Informat na.")
+            raise InternaatFout(f"Aanmelden bij de Internaat-API mislukt: {fout}")
+        self.school.cache[sleutel] = (time.time() + int(js.get('expires_in') or 3600) - 60, js['access_token'])
+        return js['access_token']
+
+    def _get(self, pad, nummer, params):
+        headers = {'Authorization': f"BEARER {self._token(nummer)}", 'InstituteNo': nummer, 'Api-Version': '1',
+                   'Accept': 'application/json'}
+        url = f"{self.base}{pad}"
+        try:
+            r = requests.get(url, params=params, headers=headers, timeout=TIMEOUT)
+            if r.status_code == 405:          # de voorbeelden in de handleiding gebruiken POST
+                r = requests.post(url, params=params, headers=headers, timeout=TIMEOUT)
+        except requests.exceptions.Timeout:
+            raise InternaatFout("De Internaat-API van Informat antwoordde niet op tijd. Probeer later opnieuw.")
+        except Exception as e:
+            raise InternaatFout(f"De Internaat-API van Informat is niet bereikbaar: {e}")
+        if r.status_code == 404:
+            return []                          # volgens Informat: geen gegevens
+        if r.status_code in (401, 403):
+            raise InternaatFout(f"Informat weigert de toegang tot de internen van {nummer} ({r.status_code}).")
+        if r.status_code != 200:
+            raise InternaatFout(f"Internaat-API ({nummer}): HTTP {r.status_code} {r.text[:200]}")
+        try:
+            data = r.json()
+        except Exception:
+            raise InternaatFout(f"Onverwacht antwoord van de Internaat-API: {r.text[:200]}")
+        return data if isinstance(data, list) else (data.get('items') or data.get('data') or [])
+
+    # ---------------- internen ----------------
+    def internen(self, schooljaar, peildatum=None, vernieuw=False):
+        """(rijen, opgehaald) met één rij per intern die op de peildatum ingeschreven is."""
+        if not self.nummers:
+            raise InternaatFout("Er is nog geen instellingsnummer voor het internaat ingesteld (Koppelingen › Informat).")
+        peildatum = peildatum or date.today()
+        sleutel = ('internen', schooljaar, peildatum.isoformat())
+        bewaard = self.school.cache.get(sleutel)
+        if bewaard and not vernieuw and time.time() - bewaard[0] < CACHE_SECONDEN:
+            return bewaard[1], bewaard[0]
+        rijen, gezien = [], set()
+        for nummer, campusnaam in self.nummers:
+            inschrijvingen = {}
+            for ins in self._get('/registrations', nummer, {'schoolYear': schooljaar}):
+                if _lopend(ins, peildatum) or str(ins.get('pPersoon')) not in inschrijvingen:
+                    inschrijvingen[str(ins.get('pPersoon'))] = ins
+            for p in self._get('/pupils', nummer, {'schoolYear': schooljaar, 'refdate': peildatum.isoformat()}):
+                sleutel_p = str(p.get('persoonId') or p.get('pPersoon'))
+                if sleutel_p in gezien:            # zelfde intern via een tweede instellingsnummer
+                    continue
+                gezien.add(sleutel_p)
+                ins = inschrijvingen.get(str(p.get('pPersoon'))) or {}
+                kamer = next((k for k in ins.get('kamers') or [] if _lopend(k, peildatum)), None)
+                ouders = []
+                for rel in sorted(p.get('relaties') or [], key=lambda x: (x.get('lpv') or 9)):
+                    if rel.get('isOverleden'):
+                        continue
+                    gsm = next((c.get('nr') for c in rel.get('comnrs') or [] if (c.get('soort') or '').lower() == 'gsm'), None) \
+                        or next((c.get('nr') for c in rel.get('comnrs') or []), None)
+                    mail = next((e.get('email') for e in rel.get('emails') or [] if e.get('schoolcom')), None) \
+                        or next((e.get('email') for e in rel.get('emails') or []), None)
+                    ouders.append({'type': rel.get('type') or '', 'naam': f"{rel.get('voornaam') or ''} {rel.get('naam') or ''}".strip(),
+                                   'gsm': gsm or '', 'email': mail or ''})
+                adres = next((a for a in p.get('adressen') or [] if a.get('isVerblijf')), None) or \
+                    next(iter(p.get('adressen') or []), None) or {}
+                rijen.append({
+                    'id': p.get('pPersoon'),
+                    'naam': (p.get('naam') or '').strip(), 'voornaam': (p.get('voornaam') or '').strip(),
+                    'geboortedatum': _datum(p.get('geboortedatum')), 'geslacht': p.get('geslacht') or '',
+                    'stamnummer': ins.get('stamnr') or '',
+                    'internaat': ins.get('internaat') or campusnaam or nummer, 'nummer': nummer,
+                    'vestiging': ins.get('vestiging') or '',
+                    'begin': _datum(ins.get('begindatum')), 'einde': _datum(ins.get('einddatum')),
+                    'financiering': ins.get('fin') or '',
+                    'kamer': ' '.join(x for x in (
+                        f"blok {kamer.get('blok')}" if kamer and kamer.get('blok') else '',
+                        f"verd. {kamer.get('verdiep')}" if kamer and kamer.get('verdiep') not in (None, '') else '',
+                        f"nr. {kamer.get('nr')}" if kamer and kamer.get('nr') not in (None, '') else '') if x),
+                    'kamer_sort': f"{(kamer or {}).get('blok') or ''}-{str((kamer or {}).get('verdiep') or '').zfill(3)}-{str((kamer or {}).get('nr') or '').zfill(5)}" if kamer else '',
+                    'ouders': ouders,
+                    'gemeente': ' '.join(x for x in (adres.get('postcode'), adres.get('gemeente')) if x),
+                    'huisdokter': ' – '.join(x for x in (p.get('huisdokter'), p.get('telefoonHuisdokter')) if x),
+                })
+        rijen.sort(key=lambda r: (r['naam'].lower(), r['voornaam'].lower()))
+        nu = time.time()
+        self.school.cache[sleutel] = (nu, rijen)
+        return rijen, nu
+
+
+# ---------------------------------------------------------------------
+# Bestaat de intern in Smartschool? (gebruikersnaam = "voornaam achternaam")
+# ---------------------------------------------------------------------
+SS_CACHE_SECONDEN = 3600
+
+
+def _naamdeel(tekst):
+    """'Van den Broeck' → 'vandenbroeck', 'Zoë' → 'zoe'."""
+    import unicodedata
+    t = unicodedata.normalize('NFKD', str(tekst or '')).encode('ascii', 'ignore').decode().lower()
+    return ''.join(c for c in t if c.isalnum() or c == '-')
+
+
+def ss_kandidaten(voornaam, naam):
+    """Mogelijke Smartschool-gebruikersnamen: eerst "voornaam achternaam" (met spatie), dan varianten."""
+    v, n = _naamdeel(voornaam), _naamdeel(naam)
+    vol = ' '.join(f"{str(voornaam).strip()} {str(naam).strip()}".split())
+    # Op het internaat: "voornaam achternaam" met een spatie (eerst zoals in Informat, dan in kleine letters)
+    uit = [vol, vol.lower(), f"{v} {n}",
+           f"{v}.{n}", f"{v}.{n.replace('-', '')}", f"{v.replace('-', '')}.{n.replace('-', '')}", f"{v}{n}"]
+    return [x for x in dict.fromkeys(uit) if x.strip('. ')]
+
+
+def smartschool_status(personen):
+    """personen: [{'pid', 'voornaam', 'naam'}] → {pid: gebruikersnaam of None}. 1 uur bewaard per school."""
+    import threading
+    from concurrent.futures import ThreadPoolExecutor
+    from tenancy import huidige_school, in_school
+    school = huidige_school()
+    if not school.heeft('SS_API_PLATFORM', 'SS_API_PW'):
+        raise InternaatFout("Smartschool is nog niet ingesteld voor deze school (🔌 Koppelingen › Smartschool).")
+    cache = school.cache.setdefault('ss_internen', {})
+    nu = time.time()
+    uit, te_doen = {}, []
+    for p in personen:
+        sleutel = (str(p.get('pid')), p.get('voornaam') or '', p.get('naam') or '')
+        hit = cache.get(sleutel)
+        if hit and nu - hit[0] < SS_CACHE_SECONDEN:
+            uit[sleutel[0]] = hit[1]
+        else:
+            te_doen.append(sleutel)
+    if not te_doen:
+        return uit
+    lokaal = threading.local()
+
+    def zoek(sleutel):
+        pid, voornaam, naam = sleutel
+        with in_school(school):
+            if not hasattr(lokaal, 'ss'):
+                from services.smartschool_api import SmartschoolService
+                lokaal.ss = SmartschoolService(Config.SS_API_PLATFORM, Config.SS_API_PW)
+            gevonden = None
+            for kandidaat in ss_kandidaten(voornaam, naam):
+                try:
+                    raw = lokaal.ss.client.service.getUserDetailsByUsername(Config.SS_API_PW, kandidaat)
+                except Exception:
+                    continue
+                if isinstance(raw, str) and raw.strip().startswith('{'):
+                    gevonden = kandidaat
+                    break
+            return sleutel, gevonden
+
+    with ThreadPoolExecutor(max_workers=4) as pool:
+        for sleutel, gevonden in pool.map(zoek, te_doen):
+            cache[sleutel] = (time.time(), gevonden)
+            uit[sleutel[0]] = gevonden
+    return uit
diff --git a/services/ipblokkade.py b/services/ipblokkade.py
new file mode 100644
index 0000000..8eb3aca
--- /dev/null
+++ b/services/ipblokkade.py
@@ -0,0 +1,196 @@
+"""
+IP-blokkades: aanvragen van bepaalde IP-adressen of reeksen weigeren, voor alle scholen.
+
+Regels staan in de centrale tabel IP_blokkades:
+- Soort 'blokkeren' → elke aanvraag van zo'n adres krijgt 403 (ook de loginpagina).
+- Soort 'toestaan'  → uitzondering: dit adres mag altijd, ook als het in een geblokkeerde reeks valt.
+
+Een reeks kan je schrijven als:
+  85.          → alles wat met 85. begint (85.0.0.0/8)
+  85.12.       → 85.12.0.0/16
+  85.12.3.     → 85.12.3.0/24
+  85.12.3.4    → één adres
+  85.0.0.0/8   → CIDR-notatie (ook IPv6, bv. 2a02:1810::/32)
+De lijst wordt 30 seconden in het geheugen gehouden; een wijziging in PIVOT geldt meteen.
+Lukt het lezen van de database niet, dan wordt niemand geweigerd (de site blijft bereikbaar).
+"""
+import ipaddress
+import sys
+import threading
+import time
+
+CACHE_SECONDEN = 30
+_cache = {'t': 0, 'regels': []}
+_lock = threading.Lock()
+
+
+class OngeldigeReeks(ValueError):
+    pass
+
+
+def normaliseer(reeks):
+    """Tekst van de gebruiker → ip_network. '85.' → 85.0.0.0/8, '85.12.3.4' → 85.12.3.4/32."""
+    t = str(reeks or '').strip().replace(' ', '')
+    if not t:
+        raise OngeldigeReeks("Vul een IP-adres of reeks in.")
+    if '/' not in t and ':' not in t:
+        delen = t.rstrip('.').split('.') if t.endswith('.') or t.count('.') < 3 else None
+        if delen is not None:
+            if not 1 <= len(delen) <= 3 or not all(d.isdigit() and 0 <= int(d) <= 255 for d in delen):
+                raise OngeldigeReeks(f"'{reeks}' is geen geldige reeks. Voorbeelden: 85.  85.12.  85.12.3.4  85.0.0.0/8")
+            t = '.'.join(delen + ['0'] * (4 - len(delen))) + f"/{8 * len(delen)}"
+    try:
+        return ipaddress.ip_network(t, strict=False)
+    except ValueError:
+        raise OngeldigeReeks(f"'{reeks}' is geen geldig IP-adres of geldige reeks. "
+                             "Voorbeelden: 85.  85.12.  85.12.3.4  85.0.0.0/8")
+
+
+def ensure_table():
+    from database import central_query
+    central_query("""
+        CREATE TABLE IF NOT EXISTS PIVOT_instellingen (
+            Sleutel     VARCHAR(50)  NOT NULL PRIMARY KEY,
+            Waarde      VARCHAR(255) NULL,
+            Bijgewerkt  DATETIME     NULL,
+            Door        VARCHAR(100) NULL
+        ) ENGINE=InnoDB""", commit=True)
+    central_query("""
+        CREATE TABLE IF NOT EXISTS IP_blokkades (
+            ID               INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+            Reeks            VARCHAR(64)  NOT NULL,
+            Soort            VARCHAR(10)  NOT NULL DEFAULT 'blokkeren',
+            Opmerking        VARCHAR(255) NULL,
+            Scholen          VARCHAR(1000) NULL,
+            Aangemaakt       DATETIME     NOT NULL,
+            Door             VARCHAR(100) NULL,
+            Gebruiker_ID     INT          NULL,
+            Aantal_geweigerd INT          NOT NULL DEFAULT 0,
+            Laatst_geweigerd DATETIME     NULL,
+            UNIQUE KEY uq_ip_reeks (Reeks, Soort)
+        ) ENGINE=InnoDB""", commit=True)
+    # Bestaande tabel van vóór de schoolkeuze bij "Altijd toestaan" (of met de eerdere kolom School_code: één school)
+    kolommen = {r['Field'].lower() for r in central_query("SHOW COLUMNS FROM IP_blokkades") or []}
+    if 'scholen' not in kolommen:
+        central_query("ALTER TABLE IP_blokkades ADD COLUMN Scholen VARCHAR(1000) NULL AFTER Opmerking", commit=True)
+        if 'school_code' in kolommen:
+            central_query("UPDATE IP_blokkades SET Scholen = School_code WHERE School_code IS NOT NULL", commit=True)
+    if 'school_code' in kolommen:
+        central_query("ALTER TABLE IP_blokkades DROP COLUMN School_code", commit=True)
+    if 'gebruiker_id' not in kolommen:     # wie de regel toevoegde (gewone gebruikers mogen enkel hun eigen regels verwijderen)
+        central_query("ALTER TABLE IP_blokkades ADD COLUMN Gebruiker_ID INT NULL AFTER Door", commit=True)
+
+
+def scholen_codes(waarde):
+    """'a,b' (kolom Scholen) → ['a', 'b']."""
+    return [c for c in (x.strip() for x in str(waarde or '').split(',')) if c]
+
+
+def scholen_waarde(codes):
+    """['a', 'b'] → 'a,b' (of None), zonder dubbels, in de gegeven volgorde."""
+    uit = []
+    for c in codes or []:
+        c = str(c).strip()
+        if c and c not in uit:
+            uit.append(c)
+    return ','.join(uit)[:1000] or None
+
+
+MODUS_SLEUTEL = 'ip_enkel_toegestaan'      # '1' = enkel adressen uit "Altijd toestaan" mogen binnen
+TELLER_SLEUTEL = 'ip_whitelist_geweigerd'   # aantal weigeringen door die modus
+
+
+def _laad():
+    from database import central_query
+    uit = []
+    for r in central_query("SELECT ID, Reeks, Soort FROM IP_blokkades") or []:
+        try:
+            uit.append((r['ID'], r['Soort'], ipaddress.ip_network(r['Reeks'], strict=False)))
+        except ValueError:
+            continue
+    rij = central_query("SELECT Waarde FROM PIVOT_instellingen WHERE Sleutel = %s", (MODUS_SLEUTEL,))
+    _cache.update(t=time.time(), regels=uit, enkel_toegestaan=bool(rij and rij[0]['Waarde'] == '1'))
+
+
+def regels(vers=False):
+    """[(id, soort, ip_network)] uit de database (gecachet)."""
+    if vers or time.time() - _cache['t'] >= CACHE_SECONDEN:
+        with _lock:
+            if vers or time.time() - _cache['t'] >= CACHE_SECONDEN:
+                _laad()
+    return _cache['regels']
+
+
+def enkel_toegestaan(vers=False):
+    """True als de modus "enkel Altijd toestaan" aan staat."""
+    regels(vers)
+    return _cache.get('enkel_toegestaan', False)
+
+
+def zet_enkel_toegestaan(aan, door=None):
+    from database import central_query
+    central_query("INSERT INTO PIVOT_instellingen (Sleutel, Waarde, Bijgewerkt, Door) VALUES (%s, %s, NOW(), %s) "
+                  "ON DUPLICATE KEY UPDATE Waarde = VALUES(Waarde), Bijgewerkt = NOW(), Door = VALUES(Door)",
+                  (MODUS_SLEUTEL, '1' if aan else '0', door), commit=True)
+    vergeet_cache()
+
+
+def instelling(sleutel):
+    from database import central_query
+    rij = central_query("SELECT Waarde, Bijgewerkt, Door FROM PIVOT_instellingen WHERE Sleutel = %s", (sleutel,))
+    return rij[0] if rij else None
+
+
+def is_lokaal(ip):
+    """127.0.0.1 of ::1: dan ziet PIVOT waarschijnlijk een reverse proxy i.p.v. de echte bezoeker."""
+    try:
+        a = ipaddress.ip_address(str(ip or '').strip())
+    except ValueError:
+        return False
+    return a.is_loopback
+
+
+def vergeet_cache():
+    _cache['t'] = 0
+
+
+def beoordeel(ip, lijst=None, enkel_toe=None):
+    """Geeft (geweigerd, regel_id). Een 'toestaan'-regel wint altijd van een 'blokkeren'-regel.
+    In de modus "enkel Altijd toestaan" wordt alles geweigerd wat niet op die lijst staat (regel_id = 'modus')."""
+    try:
+        adres = ipaddress.ip_address(str(ip or '').strip())
+    except ValueError:
+        return False, None
+    if getattr(adres, 'ipv4_mapped', None):          # ::ffff:85.1.2.3 → 85.1.2.3
+        adres = adres.ipv4_mapped
+    lijst = regels() if lijst is None else lijst
+    if any(s == 'toestaan' and adres in net for _, s, net in lijst if net.version == adres.version):
+        return False, None
+    if enkel_toegestaan() if enkel_toe is None else enkel_toe:
+        return True, 'modus'
+    for rid, s, net in lijst:
+        if s == 'blokkeren' and net.version == adres.version and adres in net:
+            return True, rid
+    return False, None
+
+
+def controleer(ip):
+    """Voor elke aanvraag: True = weigeren. Telt de weigering bij de regel. Faalt nooit (fout → doorlaten)."""
+    try:
+        geweigerd, rid = beoordeel(ip)
+    except Exception as e:
+        sys.stderr.write(f"PIVOT: IP-blokkades lezen mislukt: {e}\n")
+        return False
+    if geweigerd:
+        try:
+            from database import central_query
+            if rid == 'modus':
+                central_query("INSERT INTO PIVOT_instellingen (Sleutel, Waarde, Bijgewerkt) VALUES (%s, '1', NOW()) "
+                              "ON DUPLICATE KEY UPDATE Waarde = CAST(Waarde AS UNSIGNED) + 1, Bijgewerkt = NOW()",
+                              (TELLER_SLEUTEL,), commit=True)
+            else:
+                central_query("UPDATE IP_blokkades SET Aantal_geweigerd = Aantal_geweigerd + 1, "
+                              "Laatst_geweigerd = NOW() WHERE ID = %s", (rid,), commit=True)
+        except Exception:
+            pass
+    return geweigerd
diff --git a/services/personeel_service.py b/services/personeel_service.py
new file mode 100644
index 0000000..04d7060
--- /dev/null
+++ b/services/personeel_service.py
@@ -0,0 +1,371 @@
+"""
+Personeel: afwezigheden van leerkrachten, nascholingen en uitstappen.
+
+Rollen (config.ini › [personeel]):
+  - leerkracht    : iedereen in personeel_ous die met Google inlogt (PIVOT-groep 5).
+                    Ziet en beheert enkel zijn eigen meldingen/aanvragen.
+  - directie      : e-mailadressen in 'directie' → keurt nascholingen en uitstappen goed.
+  - secretariaat  : e-mailadressen in 'secretariaat' → dagoverzicht, vervangingen,
+                    melden namens een leerkracht.
+  PIVOT-gebruikers met het recht 'personeel_secretariaat' / 'personeel_directie' in deze
+  school krijgen die rol ook. Administrators hebben de secretariaatsrechten, en ook de
+  directierechten zolang er nog geen directie is ingesteld.
+
+Soorten:
+  - afwezigheid : geen goedkeuring nodig, meteen zichtbaar voor het secretariaat
+  - nascholing  : goedkeuring door de directie
+  - uitstap     : goedkeuring door de directie (klassen + begeleiders zijn weg)
+"""
+import json
+import sys
+import threading
+import time
+from datetime import date, timedelta
+
+from config import Config
+from database import execute_query, get_db_connection
+from tenancy import huidige_school, met_school
+
+LEERKRACHT_GROEP = 5
+
+SOORTEN = {
+    'afwezigheid': {'label': 'Afwezigheid', 'icoon': '🤒', 'goedkeuring': False},
+    'nascholing':  {'label': 'Nascholing',  'icoon': '🎓', 'goedkeuring': True},
+    'uitstap':     {'label': 'Uitstap',     'icoon': '🚌', 'goedkeuring': True},
+}
+STATUS = {
+    'gemeld':      ('Gemeld', 'info'),
+    'ingediend':   ('Wacht op directie', 'warning'),
+    'vraag':       ('Vraag van directie', 'warning'),
+    'goedgekeurd': ('Goedgekeurd', 'success'),
+    'geweigerd':   ('Geweigerd', 'danger'),
+    'geannuleerd': ('Geannuleerd', ''),
+}
+DAGDELEN = {'dag': 'Hele dag', 'vm': 'Voormiddag', 'nm': 'Namiddag', 'uren': 'Bepaalde lesuren'}
+# Statussen die in het dagoverzicht meetellen als "is weg"
+ACTIEF = ('gemeld', 'goedgekeurd')
+
+
+def _lijst(waarde):
+    return [x.strip().lower() for x in (waarde or '').replace(';', ',').split(',') if x.strip()]
+
+
+# ---------------- rollen ----------------
+def directie():
+    return _lijst(Config.PERSONEEL_DIRECTIE)
+
+
+def secretariaat():
+    return _lijst(Config.PERSONEEL_SECRETARIAAT)
+
+
+def rollen(sess):
+    """Rollen in de personeelsmodule: via de e-maillijsten van de school of via de PIVOT-rechten
+    'personeel_directie' / 'personeel_secretariaat' (Gebruikers & rechten)."""
+    from rechten import heeft_recht, is_admin
+    email = (sess.get('user') or '').lower()
+    admin = is_admin()
+    r = {'leerkracht'}
+    if email in directie() or (heeft_recht('personeel_directie') and (not admin or not directie())):
+        r.add('directie')
+    if email in secretariaat() or heeft_recht('personeel_secretariaat'):
+        r.add('secretariaat')
+    return r
+
+
+_ou_cache = {}
+
+
+def is_personeelslid(email):
+    """True als het Google-account in een van de personeels-OU's zit (cache 10 min)."""
+    email = (email or '').lower()
+    school = huidige_school()
+    if email.rsplit('@', 1)[-1] not in school.domeinen:
+        return False
+    sleutel = (school.code, email)
+    hit = _ou_cache.get(sleutel)
+    if hit and time.time() - hit[0] < 600:
+        return hit[1]
+    ok = False
+    try:
+        from services.google_service import GoogleAdminService
+        u = GoogleAdminService().get_user_info(email) or {}
+        ou = u.get('orgUnitPath', '')
+        ok = (not u.get('suspended')) and any(ou == p or ou.startswith(p.rstrip('/') + '/')
+                                               for p in [x.strip() for x in Config.PERSONEEL_OUS.split(',') if x.strip()])
+    except Exception as e:
+        sys.stderr.write(f"Personeel: OU-controle mislukt voor {email}: {e}\n")
+    _ou_cache[sleutel] = (time.time(), ok)
+    return ok
+
+
+# ---------------- klassen uit Smartschool ----------------
+def klassen():
+    """Officiële klassen uit Smartschool (cache 6 uur, per school). Lege lijst als het niet lukt."""
+    _klassen_cache = huidige_school().object('klassen_cache', lambda: {'t': 0, 'lijst': []})
+    if _klassen_cache['lijst'] and time.time() - _klassen_cache['t'] < 6 * 3600:
+        return _klassen_cache['lijst']
+    try:
+        from services.smartschool_api import SmartschoolService
+        ss = SmartschoolService(platform=Config.SS_API_PLATFORM, webservice_pwd=Config.SS_API_PW)
+        raw = ss.client.service.getClassListJson(Config.SS_API_PW)
+        data = json.loads(raw) if isinstance(raw, str) else raw
+        if isinstance(data, dict):
+            data = list(data.values())
+        namen = []
+        for k in data or []:
+            if not isinstance(k, dict):
+                continue
+            officieel = k.get('isKlas', k.get('isOfficial', True))
+            if str(officieel).lower() in ('false', '0', 'none'):
+                continue
+            naam = (k.get('name') or k.get('code') or '').strip()
+            if naam:
+                namen.append(naam)
+        lijst = sorted(set(namen), key=lambda n: (len(n) > 3, n))
+        if lijst:
+            _klassen_cache.update(t=time.time(), lijst=lijst)
+        return lijst
+    except Exception as e:
+        sys.stderr.write(f"Personeel: klassenlijst uit Smartschool mislukt: {e}\n")
+        return _klassen_cache['lijst']
+
+
+# ---------------- database ----------------
+def ensure_tables():
+    execute_query("""
+        CREATE TABLE IF NOT EXISTS personeel_aanvragen (
+            ID              INT AUTO_INCREMENT PRIMARY KEY,
+            Soort           VARCHAR(20)  NOT NULL,
+            Status          VARCHAR(20)  NOT NULL,
+            Email           VARCHAR(255) NOT NULL,
+            Naam            VARCHAR(255) NULL,
+            Ingediend_door  VARCHAR(255) NULL,
+            Titel           VARCHAR(255) NOT NULL,
+            Omschrijving    TEXT         NULL,
+            Locatie         VARCHAR(255) NULL,
+            Van_datum       DATE         NOT NULL,
+            Tot_datum       DATE         NOT NULL,
+            Dagdeel         VARCHAR(10)  NOT NULL DEFAULT 'dag',
+            Lesuren         VARCHAR(50)  NULL,
+            Klassen         TEXT         NULL,
+            Begeleiders     TEXT         NULL,
+            Kost            DECIMAL(10,2) NULL,
+            Vervanging_ok   TINYINT(1)   NOT NULL DEFAULT 0,
+            Vervanging_info VARCHAR(255) NULL,
+            Aangemaakt      DATETIME     NOT NULL,
+            Bijgewerkt      DATETIME     NOT NULL,
+            INDEX idx_status (Status),
+            INDEX idx_datum (Van_datum, Tot_datum),
+            INDEX idx_email (Email)
+        )""", commit=True)
+    execute_query("""
+        CREATE TABLE IF NOT EXISTS personeel_reacties (
+            ID          INT AUTO_INCREMENT PRIMARY KEY,
+            Aanvraag_ID INT          NOT NULL,
+            Tijdstip    DATETIME     NOT NULL,
+            Email       VARCHAR(255) NULL,
+            Naam        VARCHAR(255) NULL,
+            Actie       VARCHAR(30)  NOT NULL,
+            Tekst       TEXT         NULL,
+            INDEX idx_aanvraag (Aanvraag_ID)
+        )""", commit=True)
+
+
+def _reactie(aanvraag_id, email, naam, actie, tekst=None):
+    execute_query("INSERT INTO personeel_reacties (Aanvraag_ID, Tijdstip, Email, Naam, Actie, Tekst) "
+                  "VALUES (%s, NOW(), %s, %s, %s, %s)", (aanvraag_id, email, naam, actie, tekst), commit=True)
+
+
+def aanmaken(data, door_email, door_naam):
+    soort = data['soort']
+    status = 'ingediend' if SOORTEN[soort]['goedkeuring'] else 'gemeld'
+    conn = get_db_connection()
+    cur = conn.cursor()
+    try:
+        cur.execute("""
+            INSERT INTO personeel_aanvragen (Soort, Status, Email, Naam, Ingediend_door, Titel, Omschrijving, Locatie,
+                Van_datum, Tot_datum, Dagdeel, Lesuren, Klassen, Begeleiders, Kost, Aangemaakt, Bijgewerkt)
+            VALUES (%s,%s,%s,%s,%s,%s,%s,%s,%s,%s,%s,%s,%s,%s,%s,NOW(),NOW())""",
+            (soort, status, data['email'], data['naam'], door_email if door_email != data['email'] else None,
+             data['titel'], data.get('omschrijving'), data.get('locatie'), data['van'], data['tot'],
+             data['dagdeel'], data.get('lesuren'), ', '.join(data.get('klassen') or []),
+             data.get('begeleiders'), data.get('kost')))
+        conn.commit()
+        aid = cur.lastrowid
+    finally:
+        cur.close()
+        conn.close()
+    tekst = None if door_email == data['email'] else f"Gemeld door {door_naam or door_email}"
+    _reactie(aid, door_email, door_naam, 'gemeld' if status == 'gemeld' else 'ingediend', tekst)
+    return aid
+
+
+def get(aid):
+    rows = execute_query("SELECT * FROM personeel_aanvragen WHERE ID = %s", (aid,))
+    return rows[0] if rows else None
+
+
+def reacties(aid):
+    return execute_query(
+        "SELECT Tijdstip, Email, Naam, Actie, Tekst FROM personeel_reacties WHERE Aanvraag_ID = %s ORDER BY Tijdstip, ID",
+        (aid,))
+
+
+def wijzig_status(aid, nieuwe_status, door_email, door_naam, actie, tekst=None):
+    execute_query("UPDATE personeel_aanvragen SET Status = %s, Bijgewerkt = NOW() WHERE ID = %s",
+                  (nieuwe_status, aid), commit=True)
+    _reactie(aid, door_email, door_naam, actie, tekst)
+
+
+def commentaar(aid, door_email, door_naam, tekst):
+    execute_query("UPDATE personeel_aanvragen SET Bijgewerkt = NOW() WHERE ID = %s", (aid,), commit=True)
+    _reactie(aid, door_email, door_naam, 'commentaar', tekst)
+
+
+def vervanging(aid, ok, info, door_email, door_naam):
+    execute_query("UPDATE personeel_aanvragen SET Vervanging_ok = %s, Vervanging_info = %s, Bijgewerkt = NOW() "
+                  "WHERE ID = %s", (1 if ok else 0, (info or '')[:255] or None, aid), commit=True)
+    _reactie(aid, door_email, door_naam, 'vervanging',
+             ('Vervanging geregeld' if ok else 'Vervanging nog niet geregeld') + (f": {info}" if info else ''))
+
+
+def mijn(email):
+    return execute_query("SELECT * FROM personeel_aanvragen WHERE Email = %s ORDER BY Van_datum DESC, ID DESC LIMIT 200",
+                         (email,))
+
+
+def te_beoordelen():
+    return execute_query("SELECT * FROM personeel_aanvragen WHERE Status IN ('ingediend','vraag') "
+                         "ORDER BY Status = 'vraag', Van_datum, ID")
+
+
+def recent_beslist(limit=20):
+    return execute_query("SELECT * FROM personeel_aanvragen WHERE Status IN ('goedgekeurd','geweigerd') "
+                         "AND Soort <> 'afwezigheid' ORDER BY Bijgewerkt DESC LIMIT %s", (int(limit),))
+
+
+def periode(van, tot, statussen=ACTIEF):
+    ph = ','.join(['%s'] * len(statussen))
+    return execute_query(
+        f"SELECT * FROM personeel_aanvragen WHERE Status IN ({ph}) AND Van_datum <= %s AND Tot_datum >= %s "
+        "ORDER BY Van_datum, Naam", tuple(statussen) + (tot, van))
+
+
+def aantal_te_beoordelen():
+    try:
+        return execute_query("SELECT COUNT(*) AS n FROM personeel_aanvragen WHERE Status = 'ingediend'")[0]['n']
+    except Exception:
+        return 0
+
+
+# ---------------- dagoverzicht ----------------
+def dagoverzicht(van, tot):
+    """Per dag: wie is weg en welke klassen zijn weg (enkel gemeld/goedgekeurd), plus wat nog wacht."""
+    items = periode(van, tot)
+    wachtend = periode(van, tot, ('ingediend', 'vraag'))
+    dagen = []
+    d = van
+    while d <= tot:
+        if d.weekday() < 5:
+            vandaag = [i for i in items if i['Van_datum'] <= d <= i['Tot_datum']]
+            personen, klassen_weg = [], []
+            for i in vandaag:
+                personen.append({'naam': i['Naam'] or i['Email'], 'email': i['Email'], 'item': i, 'rol': None})
+                if i['Soort'] == 'uitstap':
+                    for b in [x.strip() for x in (i['Begeleiders'] or '').split(',') if x.strip()]:
+                        personen.append({'naam': b, 'email': None, 'item': i, 'rol': 'begeleider'})
+                    for k in [x.strip() for x in (i['Klassen'] or '').split(',') if x.strip()]:
+                        klassen_weg.append({'klas': k, 'item': i})
+            dagen.append({
+                'datum': d, 'personen': personen,
+                'klassen': sorted(klassen_weg, key=lambda k: k['klas']),
+                'wachtend': [w for w in wachtend if w['Van_datum'] <= d <= w['Tot_datum']],
+                'open_vervanging': sum(1 for i in vandaag if i['Klassen'] and i['Soort'] != 'uitstap' and not i['Vervanging_ok']),
+            })
+        d += timedelta(days=1)
+    return dagen
+
+
+# ---------------- e-mail ----------------
+def _mail_async(ontvangers, onderwerp, html):
+    ontvangers = sorted({o for o in ontvangers if o and '@' in o})
+    if not Config.PERSONEEL_MAILS or not ontvangers:
+        return
+
+    def verstuur():
+        try:
+            from services.google_service import GoogleAdminService
+            svc = GoogleAdminService()
+            for o in ontvangers:
+                ok, msg = svc.send_custom_mail(o, onderwerp, html)
+                if not ok:
+                    sys.stderr.write(f"Personeel: mail naar {o} mislukt: {msg}\n")
+        except Exception as e:
+            sys.stderr.write(f"Personeel: mail mislukt: {e}\n")
+
+    threading.Thread(target=met_school(verstuur), daemon=True).start()
+
+
+def _mailtekst(item, intro, link, extra=None):
+    soort = SOORTEN[item['Soort']]
+    periode_txt = item['Van_datum'].strftime('%d/%m/%Y')
+    if item['Tot_datum'] != item['Van_datum']:
+        periode_txt += ' – ' + item['Tot_datum'].strftime('%d/%m/%Y')
+    dagdeel = DAGDELEN.get(item['Dagdeel'], '')
+    if item['Dagdeel'] == 'uren' and item['Lesuren']:
+        dagdeel += f" ({item['Lesuren']})"
+    rijen = [('Wie', item['Naam'] or item['Email']), ('Wat', f"{soort['icoon']} {soort['label']}: {item['Titel']}"),
+             ('Wanneer', f"{periode_txt}, {dagdeel}")]
+    if item['Klassen']:
+        rijen.append(('Klassen', item['Klassen']))
+    if item['Begeleiders']:
+        rijen.append(('Begeleiders', item['Begeleiders']))
+    if item['Kost']:
+        rijen.append(('Kost', f"€ {item['Kost']}"))
+    tabel = ''.join(f"<tr><td style='padding:4px 12px 4px 0;color:#64748b'>{k}</td><td style='padding:4px 0'><b>{v}</b></td></tr>"
+                    for k, v in rijen)
+    extra_html = f"<p style='background:#f1f5f9;padding:10px 14px;border-radius:6px'>{extra}</p>" if extra else ''
+    return (f"<div style='font-family:Segoe UI,Arial,sans-serif;color:#1e293b'>"
+            f"<p>{intro}</p><table>{tabel}</table>{extra_html}"
+            f"<p><a href='{link}' style='background:#1e6fa5;color:#fff;padding:10px 16px;border-radius:6px;text-decoration:none'>"
+            f"Openen in PIVOT</a></p></div>")
+
+
+def secretariaat_adressen():
+    return _lijst(Config.PERSONEEL_SECRETARIAAT_MAIL) or secretariaat()
+
+
+def mail_nieuw(item, link):
+    soort = SOORTEN[item['Soort']]
+    if soort['goedkeuring']:
+        _mail_async(directie(), f"Nieuwe aanvraag {soort['label'].lower()}: {item['Naam']} – {item['Titel']}",
+                    _mailtekst(item, f"Er is een nieuwe aanvraag voor een {soort['label'].lower()} die je goedkeuring vraagt.", link))
+    else:
+        _mail_async(secretariaat_adressen(), f"Afwezig: {item['Naam']} ({item['Van_datum']:%d/%m})",
+                    _mailtekst(item, "Er is een afwezigheid gemeld.", link, item['Omschrijving']))
+
+
+def mail_beslissing(item, beslissing, tekst, link):
+    soort = SOORTEN[item['Soort']]
+    woorden = {'goedgekeurd': 'is goedgekeurd ✅', 'geweigerd': 'is geweigerd ❌', 'vraag': 'heeft een vraag van de directie ❓'}
+    _mail_async([item['Email']], f"Je aanvraag {soort['label'].lower()} {woorden[beslissing]}",
+                _mailtekst(item, f"Je aanvraag <b>{item['Titel']}</b> {woorden[beslissing]}.", link,
+                           f"Commentaar: {tekst}" if tekst else None))
+    if beslissing == 'goedgekeurd':
+        _mail_async(secretariaat_adressen(), f"Goedgekeurd: {soort['label'].lower()} {item['Naam']} ({item['Van_datum']:%d/%m})",
+                    _mailtekst(item, f"Een {soort['label'].lower()} is goedgekeurd en staat nu in het dagoverzicht.", link))
+
+
+def mail_antwoord(item, tekst, link):
+    _mail_async(directie(), f"Antwoord van {item['Naam']}: {item['Titel']}",
+                _mailtekst(item, "De leerkracht heeft geantwoord op je vraag; de aanvraag wacht opnieuw op je beslissing.",
+                           link, tekst))
+
+
+def mail_geannuleerd(item, link):
+    ontvangers = secretariaat_adressen() if item['Status'] in ('gemeld', 'goedgekeurd') else []
+    if SOORTEN[item['Soort']]['goedkeuring']:
+        ontvangers = ontvangers + directie()
+    _mail_async(ontvangers, f"Geannuleerd: {SOORTEN[item['Soort']]['label'].lower()} {item['Naam']} ({item['Van_datum']:%d/%m})",
+                _mailtekst(item, "Deze melding/aanvraag is geannuleerd.", link))
diff --git a/services/sgr_groepen_service.py b/services/sgr_groepen_service.py
new file mode 100644
index 0000000..a40b5c8
--- /dev/null
+++ b/services/sgr_groepen_service.py
@@ -0,0 +1,193 @@
+"""
+Smartschool › SGR groepen: de subgroepen van één hoofdgroep (standaard 'groepen GO-Antwerpen') met hun huidige leden.
+
+Werking (Smartschool-webservices V3):
+1. getAllGroupsAndClasses            → de volledige boom van groepen en klassen (XML, meestal base64-gecodeerd)
+2. de hoofdgroep zoeken op naam of code, en alle groepen eronder verzamelen (ook dieper geneste)
+3. getAllAccountsExtended(code, '0') → de rechtstreekse leden van elke (sub)groep
+Het resultaat wordt 10 minuten per school bewaard (knop 'Opnieuw ophalen' om te vernieuwen).
+"""
+import base64
+import json
+import threading
+import time
+import xml.etree.ElementTree as ET
+from concurrent.futures import ThreadPoolExecutor
+
+from config import Config
+
+STANDAARD_GROEP = 'groepen GO-Antwerpen'
+CACHE_SECONDEN = 10 * 60
+ROLLEN = {'1': 'Leerling', '2': 'Leerkracht', '3': 'Directie', '4': 'Andere', '5': 'Andere', '6': 'Andere'}
+
+
+class SgrFout(Exception):
+    pass
+
+
+def _foutcode(raw):
+    return isinstance(raw, (int, float)) or (isinstance(raw, str) and raw.strip().lstrip('-').isdigit())
+
+
+def _tekst(raw):
+    """Antwoord van Smartschool → tekst (base64 wordt gedecodeerd als dat XML/JSON oplevert)."""
+    if isinstance(raw, bytes):
+        raw = raw.decode('utf-8', 'replace')
+    t = str(raw or '').strip()
+    if t and t[0] not in '<{[':
+        try:
+            d = base64.b64decode(t, validate=False).decode('utf-8', 'replace').strip()
+            if d[:1] in ('<', '{', '['):
+                return d
+        except Exception:
+            pass
+    return t
+
+
+def _kind(el, *namen):
+    for n in namen:
+        for c in el:
+            if c.tag.lower() == n:
+                return c
+    return None
+
+
+def _veld(el, *namen):
+    c = _kind(el, *namen)
+    return (c.text or '').strip() if c is not None and c.text else ''
+
+
+def _groepen_xml(root):
+    """XML-boom → [{'naam','code','omschrijving','type','kinderen':[...]}]."""
+    def groep(el):
+        details = _kind(el, 'details')
+        d = details if details is not None else el
+        kids_el = _kind(el, 'children')
+        kinderen = [groep(c) for c in (kids_el if kids_el is not None else el) if c.tag.lower() == 'group']
+        return {'naam': _veld(d, 'name', 'naam'), 'code': _veld(d, 'code'), 'omschrijving': _veld(d, 'desc', 'description'),
+                'type': _veld(d, 'type'), 'kinderen': kinderen}
+    if root.tag.lower() == 'group':
+        return [groep(root)]
+    return [groep(c) for c in root if c.tag.lower() == 'group']
+
+
+def _groepen_json(data):
+    def groep(g):
+        kids = g.get('children') or g.get('groups') or []
+        if isinstance(kids, dict):
+            kids = kids.get('group') or list(kids.values())
+        if isinstance(kids, dict):
+            kids = [kids]
+        d = g.get('details') or g
+        return {'naam': str(d.get('name') or ''), 'code': str(d.get('code') or ''), 'omschrijving': str(d.get('desc') or ''),
+                'type': str(d.get('type') or ''), 'kinderen': [groep(k) for k in kids if isinstance(k, dict)]}
+    if isinstance(data, dict):
+        data = data.get('groups') or data.get('group') or [data]
+    if isinstance(data, dict):
+        data = [data]
+    return [groep(g) for g in data if isinstance(g, dict)]
+
+
+def boom(ss):
+    raw = ss.client.service.getAllGroupsAndClasses(Config.SS_API_PW)
+    if _foutcode(raw):
+        raise SgrFout(f"Smartschool weigert de groepenlijst (foutcode {raw}). Heeft het webservice-wachtwoord het recht "
+                      "'getAllGroupsAndClasses'?")
+    t = _tekst(raw)
+    try:
+        return _groepen_xml(ET.fromstring(t)) if t.startswith('<') else _groepen_json(json.loads(t))
+    except Exception as e:
+        raise SgrFout(f"Kon de groepenlijst van Smartschool niet lezen: {e}")
+
+
+def zoek(groepen, naam):
+    """Eerste groep (diepte-eerst) waarvan naam of code overeenkomt (hoofdletterongevoelig)."""
+    n = (naam or '').strip().lower()
+    for g in groepen:
+        if g['naam'].lower() == n or g['code'].lower() == n:
+            return g
+        hit = zoek(g['kinderen'], naam)
+        if hit:
+            return hit
+    return None
+
+
+def plat(groep, pad=()):
+    """Alle groepen onder `groep` (niet de groep zelf), met hun pad en diepte, in boomvolgorde."""
+    uit = []
+    for k in sorted(groep['kinderen'], key=lambda g: g['naam'].lower()):
+        uit.append({**k, 'pad': list(pad), 'diepte': len(pad)})
+        uit += plat(k, pad + (k['naam'],))
+    return uit
+
+
+def _leden(ss, code, recursief='0'):
+    raw = ss.client.service.getAllAccountsExtended(Config.SS_API_PW, code, recursief)
+    if _foutcode(raw):
+        raise SgrFout(f"foutcode {raw}")
+    t = _tekst(raw)
+    if not t:
+        return []
+    data = json.loads(t)
+    if isinstance(data, dict):
+        data = next((data[k] for k in ('accounts', 'users', 'items') if isinstance(data.get(k), list)), list(data.values()))
+    uit = []
+    for a in data or []:
+        if not isinstance(a, dict):
+            continue
+        rol = str(a.get('basisrol') or a.get('basisRol') or '').strip()
+        uit.append({'voornaam': str(a.get('voornaam') or '').strip(), 'naam': str(a.get('naam') or '').strip(),
+                    'gebruikersnaam': str(a.get('gebruikersnaam') or '').strip(),
+                    'rol': ROLLEN.get(rol, rol), 'email': str(a.get('emailadres') or a.get('email') or '').strip(),
+                    'status': str(a.get('status') or '').strip()})
+    return sorted(uit, key=lambda x: (x['naam'].lower(), x['voornaam'].lower()))
+
+
+def overzicht(hoofdgroep=None, vernieuw=False):
+    """(hoofdgroep-dict, [subgroepen met 'leden' of 'fout'], opgehaald-tijdstip)."""
+    from tenancy import huidige_school, in_school
+    from services.smartschool_api import SmartschoolService
+    school = huidige_school()
+    if not school.heeft('SS_API_PLATFORM', 'SS_API_PW'):
+        raise SgrFout("Smartschool is nog niet ingesteld voor deze school (🔌 Koppelingen › Smartschool).")
+    hoofdgroep = (hoofdgroep or school.get('SS_SGR_GROEP') or STANDAARD_GROEP).strip()
+    sleutel = ('sgr_groepen', hoofdgroep.lower())
+    bewaard = school.cache.get(sleutel)
+    if bewaard and not vernieuw and time.time() - bewaard[0] < CACHE_SECONDEN:
+        return bewaard[1], bewaard[2], bewaard[0]
+
+    try:
+        ss = SmartschoolService(Config.SS_API_PLATFORM, Config.SS_API_PW)
+    except Exception as e:
+        raise SgrFout(f"Smartschool is niet bereikbaar: {e}")
+    hoofd = zoek(boom(ss), hoofdgroep)
+    if not hoofd:
+        raise SgrFout(f"De groep '{hoofdgroep}' bestaat niet in Smartschool ({Config.SS_API_PLATFORM}).")
+    groepen = plat(hoofd)
+
+    lokaal = threading.local()
+
+    def haal(g):
+        with in_school(school):
+            if not hasattr(lokaal, 'ss'):
+                lokaal.ss = SmartschoolService(Config.SS_API_PLATFORM, Config.SS_API_PW)
+            try:
+                if not g['code']:
+                    return {**g, 'leden': [], 'fout': 'geen code'}
+                leden = _leden(lokaal.ss, g['code'])
+                if not leden and not g['kinderen']:
+                    # Groep zonder subgroepen: rechtstreeks = recursief; sommige platformen geven enkel zo de leden
+                    leden = _leden(lokaal.ss, g['code'], '1')
+                return {**g, 'leden': leden, 'fout': None}
+            except Exception as e:
+                return {**g, 'leden': [], 'fout': str(e)[:200]}
+
+    with ThreadPoolExecutor(max_workers=4) as pool:
+        resultaat = list(pool.map(haal, groepen))
+    for g in resultaat:
+        g.pop('kinderen', None)
+        g['aantal_sub'] = sum(1 for x in resultaat if x['pad'][:len(g['pad']) + 1] == g['pad'] + [g['naam']])
+    info = {'naam': hoofd['naam'], 'code': hoofd['code'], 'omschrijving': hoofd['omschrijving']}
+    nu = time.time()
+    school.cache[sleutel] = (nu, info, resultaat)
+    return info, resultaat, nu
diff --git a/services/signpost_byod_service.py b/services/signpost_byod_service.py
new file mode 100644
index 0000000..27adc61
--- /dev/null
+++ b/services/signpost_byod_service.py
@@ -0,0 +1,140 @@
+import requests
+from config import Config
+
+BASE_DATA_URL = "https://byod-api.signpost.be/v1"
+
+
+def get_signpost_token():
+    """Token met de Signpost/M4S-gegevens van de huidige school (None bij een fout)."""
+    return signpost_token_met_reden()[0]
+
+
+def signpost_token_met_reden():
+    """Geeft (token, None) of (None, leesbare foutmelding)."""
+    if not (Config.M4S_CLIENT_ID and Config.M4S_CLIENT_SECRET):
+        return None, ("Signpost is nog niet ingesteld voor deze school: vul de client-ID en het client-secret in "
+                      "via 🔌 Koppelingen van deze school › Signpost / M4S.")
+    auth_payload = {
+        "grant_type": "client_credentials",
+        "client_id": Config.M4S_CLIENT_ID,
+        "client_secret": Config.M4S_CLIENT_SECRET,
+        "scope": "openid",
+        "resource": "management_portal:api"
+    }
+    try:
+        response = requests.post(Config.M4S_AUTH_URL, data=auth_payload, timeout=15)
+    except requests.exceptions.RequestException as e:
+        return None, f"Signpost ({Config.M4S_AUTH_URL}) is niet bereikbaar: {e}"
+    if response.status_code in (400, 401, 403):
+        detail = ''
+        try:
+            j = response.json()
+            detail = j.get('error_description') or j.get('error') or ''
+        except ValueError:
+            pass
+        return None, (f"Signpost weigert de aanmelding (HTTP {response.status_code}{': ' + detail if detail else ''}). "
+                      "Controleer de client-ID en het client-secret bij 🔌 Koppelingen van deze school.")
+    if not response.ok:
+        return None, f"Signpost gaf foutcode {response.status_code} bij het aanmelden."
+    token = response.json().get("access_token")
+    return (token, None) if token else (None, "Signpost gaf geen token terug.")
+
+
+#-------------------------------------------------------------------------------------------------
+#herstelling signpost doorgeven
+#-------------------------------------------------------------------------------------------------
+
+def create_signpost_case(serial_number, description, damage_flags=None):
+    """
+    Maakt een nieuw herstellingsdossier aan bij Signpost.
+    :param serial_number: Het serienummer van het toestel.
+    :param description: Omschrijving van het probleem.
+    :param damage_flags: Dict met booleans (bv. {'waterDamage': True})
+    """
+    token = get_signpost_token()
+    if not token:
+        return False, "Authenticatie mislukt."
+
+    headers = {
+        "Authorization": f"Bearer {token}",
+        "Content-Type": "application/json",
+        "Accept": "application/json"
+    }
+
+    # Bouw het payload op basis van de Config klasse
+    payload = {
+        "languageCode": getattr(Config, "M4S_LANGUAGE_CODE", "nl-BE"),
+        "description": description,
+        "status": getattr(Config, "M4S_REPAIR_STATUS", "Nieuw"),
+        "repairLocationType": int(getattr(Config, "M4S_REPAIR_LOCATION_TYPE", 1)),
+        "serialNumber": serial_number,
+        "institutionGuid": Config.M4S_INSTITUTIONGUID,
+        "address": {
+            "street": Config.M4S_REPAIR_STREET,
+            "number": Config.M4S_REPAIR_STREETNUMBER,
+            "zipCode": Config.M4S_REPAIR_ZIPCODE,
+            "city": Config.M4S_REPAIIR_CITY,
+            "countryCode": Config.M4S_REPAIR_COUNTRYCODE,
+            "repairAtInstitution": True
+        },
+        "contacts": [{
+            "firstName": Config.M4S_CONTACT_FIRST_NAME,
+            "lastName": Config.M4S_CONTACT_LAST_NAME,
+            "email": Config.M4S_CONTACT_EMAIL,
+            "phone": Config.M4S_CONTACT_PHONE
+        }],
+        "billingContact": {
+            "firstName": Config.M4S_BILLING_FIRST_NAME,
+            "lastName": Config.M4S_BILLING_LAST_NAME,
+            "email": Config.M4S_BILLING_EMAIL,
+            "phone": Config.M4S_BILLING_PHONE,
+            "street": Config.M4S_REPAIR_STREET,
+            "number": Config.M4S_REPAIR_STREETNUMBER,
+            "zipCode": Config.M4S_REPAIR_ZIPCODE,
+            "city": Config.M4S_REPAIIR_CITY,
+            "countryCode": Config.M4S_REPAIR_COUNTRYCODE
+        }
+    }
+
+    # Voeg schade-indicatoren toe indien meegegeven
+    if damage_flags:
+        payload.update(damage_flags)
+
+    try:
+        res = requests.post(f"{BASE_DATA_URL}/field-service/cases", headers=headers, json=payload, timeout=15)
+        if res.status_code in [200, 201]:
+            return True, res.json().get("ourReference", "Succesvol aangemaakt")
+        else:
+            return False, f"API Fout {res.status_code}: {res.text}"
+    except Exception as e:
+        return False, f"Verbindingsfout: {str(e)}"
+
+
+
+#-------------------------------------------------------------------------------------------------
+#
+#-------------------------------------------------------------------------------------------------
+
+
+def get_cases_by_serial(serial_number):
+    token = get_signpost_token()
+    if not token:
+        return []
+
+    headers = {
+        "Authorization": f"Bearer {token}",
+        "Accept": "application/json"
+    }
+    params = {"$search": serial_number}
+    
+    try:
+        res = requests.get(f"{BASE_DATA_URL}/field-service/cases", headers=headers, params=params, timeout=15)
+        if res.status_code == 200:
+            return res.json().get("items", [])
+        return []
+    except Exception as e:
+        print(f"Signpost API Fout: {e}")
+        return []
+    
+
+    
\ No newline at end of file
diff --git a/services/skore_service.py b/services/skore_service.py
new file mode 100644
index 0000000..b3e7c9e
--- /dev/null
+++ b/services/skore_service.py
@@ -0,0 +1,326 @@
+"""
+Skore-synchronisatie in Smartschool (klassen en leerlingen van Smartschool → Skore).
+
+Smartschool-webservices:
+  startSkoreSync(accesscode)            → start de synchronisatie, geeft een taak-ID (serviceId) terug
+  checkStatus(accesscode, serviceId)    → status van die taak
+
+Per school:
+  - skore_planning : één rij met de planning (uit / dagelijks / weekdagen / wekelijks / maandelijks + uur)
+  - skore_log      : elke gestarte synchronisatie (manueel of gepland) met taak-ID en laatste status
+
+Eén achtergrondtaak overloopt elke minuut alle scholen en start de synchronisatie wanneer de planning dat vraagt.
+"""
+import json
+import sys
+import threading
+import time
+from datetime import datetime, timedelta
+
+from config import Config
+from database import execute_query, execute_insert
+from tenancy import alle_scholen, in_school
+
+FREQUENTIES = [
+    ('uit', 'Niet automatisch (enkel manueel)'),
+    ('dagelijks', 'Elke dag'),
+    ('weekdagen', 'Elke weekdag (ma–vr)'),
+    ('wekelijks', 'Eén keer per week'),
+    ('maandelijks', 'Eén keer per maand'),
+]
+WEEKDAGEN = ['maandag', 'dinsdag', 'woensdag', 'donderdag', 'vrijdag', 'zaterdag', 'zondag']
+# Een geplande synchronisatie die gemist werd (PIVOT stond uit) wordt nog ingehaald tot zoveel uur later.
+INHAAL_UREN = 6
+# Statuscodes van checkStatus die we kennen (vastgesteld: 2 = "SYNC IS COMPLETED")
+STATUSCODES = {2: 'voltooid'}
+# Automatische opvolging na een start: elke 30 s de status opvragen, maximaal 45 minuten
+OPVOLG_INTERVAL = 30
+OPVOLG_MAX = 45 * 60
+EINDSTATUS = ('voltooid', 'mislukt')
+
+TABELLEN = [
+    """CREATE TABLE IF NOT EXISTS skore_planning (
+        ID              TINYINT      NOT NULL PRIMARY KEY,
+        Frequentie      VARCHAR(20)  NOT NULL DEFAULT 'uit',
+        Uur             TINYINT      NOT NULL DEFAULT 6,
+        Minuut          TINYINT      NOT NULL DEFAULT 0,
+        Weekdag         TINYINT      NOT NULL DEFAULT 0,
+        Dag_van_maand   TINYINT      NOT NULL DEFAULT 1,
+        Laatst_gepland  DATETIME     NULL,
+        Bijgewerkt      DATETIME     NULL,
+        Bijgewerkt_door VARCHAR(255) NULL
+    ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci""",
+    """CREATE TABLE IF NOT EXISTS skore_log (
+        ID         INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+        Gestart    DATETIME     NOT NULL,
+        Door       VARCHAR(255) NULL,
+        Manier     VARCHAR(20)  NOT NULL,
+        Service_ID VARCHAR(100) NULL,
+        Status     VARCHAR(30)  NOT NULL,
+        Melding    TEXT         NULL,
+        Bijgewerkt DATETIME     NULL,
+        INDEX idx_skore_gestart (Gestart)
+    ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci""",
+]
+
+
+class SkoreFout(RuntimeError):
+    pass
+
+
+def ensure_tables():
+    for sql in TABELLEN:
+        execute_query(sql, commit=True)
+    execute_query("INSERT IGNORE INTO skore_planning (ID) VALUES (1)", commit=True)
+
+
+# =====================================================================
+# Smartschool
+# =====================================================================
+def _client():
+    if not (Config.SS_API_PLATFORM and Config.SS_API_PW):
+        raise SkoreFout("Smartschool is nog niet ingesteld voor deze school (platform en webservice-wachtwoord "
+                        "via 🔌 Koppelingen van deze school).")
+    from services.smartschool_api import SmartschoolService
+    return SmartschoolService(Config.SS_API_PLATFORM, Config.SS_API_PW).client
+
+
+def _json(raw):
+    """Smartschool geeft JSON als tekst terug; geeft een dict (of None)."""
+    if isinstance(raw, dict):
+        return raw
+    try:
+        data = json.loads(raw) if isinstance(raw, str) and raw.strip().startswith('{') else None
+    except ValueError:
+        data = None
+    return data if isinstance(data, dict) else None
+
+
+def service_id_uit(raw):
+    """Taak-ID uit het antwoord van startSkoreSync, bv. {"serviceId":"db18…","message":"SERVICE STARTED"}.
+    Werkt ook voor oude logregels waarin het volledige antwoord als ID bewaard werd."""
+    data = _json(raw)
+    if data is not None:
+        return str(data.get('serviceId') or data.get('serviceID') or data.get('id') or '').strip() or None
+    if raw in (None, ''):
+        return None
+    return str(raw).strip() or None
+
+
+def _is_foutcode(raw):
+    return isinstance(raw, (int, float)) or (isinstance(raw, str) and raw.strip().lstrip('-').isdigit())
+
+
+def _foutcode_tekst(client, code):
+    """Smartschool geeft bij fouten een getal; probeer de omschrijving op te halen."""
+    try:
+        lijst = json.loads(client.service.returnJsonErrorCodes())
+        tekst = lijst.get(str(code).strip()) if isinstance(lijst, dict) else None
+        if tekst:
+            return f"Smartschool-fout {code}: {tekst}"
+    except Exception:
+        pass
+    return (f"Smartschool-fout {code}. Controleer of het webservice-wachtwoord het recht heeft om de "
+            "Skore-synchronisatie te starten (Smartschool › Beheer › Webservices).")
+
+
+def _status_uit(raw):
+    """Zet het antwoord van checkStatus om naar (status, melding).
+
+    Smartschool antwoordt met {"status": <getal>, "message": <tekst of null>}. Wat de getallen betekenen is niet
+    publiek gedocumenteerd; daarom leiden we 'voltooid' of 'mislukt' enkel af uit de tekst, en tonen we anders
+    de statuscode zelf (bv. 'code 0')."""
+    tekst = raw if isinstance(raw, str) else json.dumps(raw, default=str) if raw is not None else ''
+    data = _json(raw)
+    code = data.get('status') if data else None
+    bericht = str((data or {}).get('message') or (data or {}).get('state') or '') if data else tekst
+    laag = bericht.lower()
+    if any(w in laag for w in ('error', 'fout', 'failed', 'mislukt')):
+        status = 'mislukt'
+    elif any(w in laag for w in ('done', 'finished', 'completed', 'klaar', 'voltooid', 'success')):
+        status = 'voltooid'
+    elif any(w in laag for w in ('running', 'busy', 'bezig', 'started', 'queue', 'wacht')):
+        status = 'bezig'
+    elif code is not None and str(code).strip().isdigit() and int(code) in STATUSCODES:
+        status = STATUSCODES[int(code)]
+    elif code is not None:
+        status = f"code {code}"
+    else:
+        status = 'onbekend'
+    melding = f"Smartschool: status {code}" + (f", {bericht}" if bericht else " (geen bericht)") if data else tekst
+    return status[:30], melding[:2000]
+
+
+def start(door, manier='manueel'):
+    """Start de Skore-synchronisatie. Geeft de rij uit skore_log terug."""
+    ensure_tables()
+    nu = datetime.now()
+    try:
+        client = _client()
+        raw = client.service.startSkoreSync(Config.SS_API_PW)
+        if _is_foutcode(raw) and str(raw).strip() not in ('', '0'):
+            raise SkoreFout(_foutcode_tekst(client, raw))
+        service_id = service_id_uit(raw)
+        bericht = (_json(raw) or {}).get('message')
+        if not service_id:
+            raise SkoreFout(f"Smartschool startte de synchronisatie niet: {bericht or raw}")
+        status = 'gestart'
+        melding = f"Synchronisatie gestart bij Smartschool ({bericht})." if bericht else "Synchronisatie gestart bij Smartschool."
+    except SkoreFout as e:
+        service_id, status, melding = None, 'mislukt', str(e)
+    except Exception as e:
+        service_id, status, melding = None, 'mislukt', f"Smartschool niet bereikbaar: {e}"
+    log_id = execute_insert(
+        "INSERT INTO skore_log (Gestart, Door, Manier, Service_ID, Status, Melding, Bijgewerkt) "
+        "VALUES (%s, %s, %s, %s, %s, %s, %s)", (nu, door, manier, service_id, status, melding, nu))
+    rij = execute_query("SELECT * FROM skore_log WHERE ID = %s", (log_id,))[0]
+    if rij['Service_ID']:
+        volg_op(log_id)
+    return rij
+
+
+def volg_op(log_id):
+    """Vraagt op de achtergrond de status op tot de synchronisatie klaar of mislukt is."""
+    from tenancy import met_school
+
+    def loop():
+        begin = time.time()
+        while time.time() - begin < OPVOLG_MAX:
+            time.sleep(OPVOLG_INTERVAL)
+            try:
+                rij = controleer(log_id)
+            except Exception as e:
+                sys.stderr.write(f"[{Config.SCHOOLNAME_SHORT}] Skore-opvolging: {e}\n")
+                continue
+            if not rij or rij['Status'] in EINDSTATUS:
+                return
+    threading.Thread(target=met_school(loop), daemon=True).start()
+
+
+def bezig():
+    """True als er een synchronisatie loopt die nog geen eindstatus heeft (laatste 45 minuten)."""
+    rows = execute_query("SELECT Status, Gestart FROM skore_log WHERE Service_ID IS NOT NULL "
+                         "ORDER BY Gestart DESC, ID DESC LIMIT 1")
+    return bool(rows) and rows[0]['Status'] not in EINDSTATUS and \
+        datetime.now() - rows[0]['Gestart'] < timedelta(seconds=OPVOLG_MAX)
+
+
+def controleer(log_id):
+    """Vraagt de status van een gestarte synchronisatie op bij Smartschool en bewaart die."""
+    rows = execute_query("SELECT * FROM skore_log WHERE ID = %s", (log_id,))
+    if not rows or not rows[0]['Service_ID']:
+        return rows[0] if rows else None
+    try:
+        client = _client()
+        sid = service_id_uit(rows[0]['Service_ID'])
+        if sid != rows[0]['Service_ID']:
+            execute_query("UPDATE skore_log SET Service_ID = %s WHERE ID = %s", (sid, log_id), commit=True)
+        raw = client.service.checkStatus(Config.SS_API_PW, sid)
+        if _is_foutcode(raw) and str(raw).strip() not in ('', '0'):
+            status, melding = 'onbekend', _foutcode_tekst(client, raw)
+        else:
+            status, melding = _status_uit(raw)
+    except Exception as e:
+        status, melding = rows[0]['Status'], f"Status opvragen mislukt: {e}"
+    execute_query("UPDATE skore_log SET Status = %s, Melding = %s, Bijgewerkt = %s WHERE ID = %s",
+                  (status, melding, datetime.now(), log_id), commit=True)
+    return execute_query("SELECT * FROM skore_log WHERE ID = %s", (log_id,))[0]
+
+
+def logboek(n=25):
+    ensure_tables()
+    return execute_query("SELECT * FROM skore_log ORDER BY Gestart DESC, ID DESC LIMIT %s", (n,))
+
+
+# =====================================================================
+# Planning
+# =====================================================================
+def planning():
+    ensure_tables()
+    return execute_query("SELECT * FROM skore_planning WHERE ID = 1")[0]
+
+
+def bewaar_planning(frequentie, uur, minuut, weekdag, dag_van_maand, door):
+    if frequentie not in dict(FREQUENTIES):
+        raise ValueError("Onbekende frequentie.")
+    uur, minuut, weekdag, dag = int(uur), int(minuut), int(weekdag), int(dag_van_maand)
+    if not (0 <= uur <= 23 and 0 <= minuut <= 59 and 0 <= weekdag <= 6 and 1 <= dag <= 28):
+        raise ValueError("Ongeldig tijdstip of ongeldige dag.")
+    ensure_tables()
+    # Laatst_gepland op 'nu' zetten: een planning die je net aanpast, start niet meteen voor een moment in het verleden
+    execute_query(
+        "UPDATE skore_planning SET Frequentie = %s, Uur = %s, Minuut = %s, Weekdag = %s, Dag_van_maand = %s, "
+        "Laatst_gepland = %s, Bijgewerkt = %s, Bijgewerkt_door = %s WHERE ID = 1",
+        (frequentie, uur, minuut, weekdag, dag, datetime.now(), datetime.now(), door), commit=True)
+
+
+def laatste_moment(p, nu):
+    """Het laatste geplande moment op of vóór `nu` volgens planning `p` (of None als 'uit')."""
+    f = p['Frequentie']
+    if f == 'uit':
+        return None
+    for terug in range(0, 62):
+        dag = (nu - timedelta(days=terug)).date()
+        moment = datetime(dag.year, dag.month, dag.day, int(p['Uur']), int(p['Minuut']))
+        if moment > nu:
+            continue
+        if f == 'dagelijks' \
+                or (f == 'weekdagen' and dag.weekday() < 5) \
+                or (f == 'wekelijks' and dag.weekday() == int(p['Weekdag'])) \
+                or (f == 'maandelijks' and dag.day == int(p['Dag_van_maand'])):
+            return moment
+    return None
+
+
+def volgende_moment(p, nu=None):
+    """Het eerstvolgende geplande moment na `nu` (voor op de pagina)."""
+    nu = nu or datetime.now()
+    if p['Frequentie'] == 'uit':
+        return None
+    for vooruit in range(0, 62):
+        dag = (nu + timedelta(days=vooruit)).date()
+        moment = datetime(dag.year, dag.month, dag.day, int(p['Uur']), int(p['Minuut']))
+        if moment > nu and laatste_moment(p, moment) == moment:
+            return moment
+    return None
+
+
+def geplande_controle(nu=None):
+    """Start de synchronisatie als er een gepland moment voorbij is dat nog niet uitgevoerd werd."""
+    nu = nu or datetime.now()
+    p = planning()
+    moment = laatste_moment(p, nu)
+    if not moment or nu - moment > timedelta(hours=INHAAL_UREN):
+        return None
+    if p['Laatst_gepland'] and p['Laatst_gepland'] >= moment:
+        return None
+    execute_query("UPDATE skore_planning SET Laatst_gepland = %s WHERE ID = 1", (nu,), commit=True)
+    rij = start('automatisch', manier='gepland')
+    print(f"[{Config.SCHOOLNAME_SHORT}] Skore-synchronisatie (gepland): {rij['Status']} – {rij['Melding']}", flush=True)
+    return rij
+
+
+_scheduler = None
+
+
+def start_scheduler():
+    """Eén achtergrondtaak die elke minuut alle scholen met een Smartschool-koppeling overloopt."""
+    global _scheduler
+    if _scheduler:
+        return
+
+    def loop():
+        time.sleep(45)                       # app eerst laten opstarten
+        while True:
+            for school in alle_scholen():
+                if not school.heeft('SS_API_PLATFORM', 'SS_API_PW'):
+                    continue
+                try:
+                    with in_school(school):
+                        geplande_controle()
+                except Exception as e:
+                    sys.stderr.write(f"[{school.code}] Skore-planning: {e}\n")
+            time.sleep(60)
+
+    _scheduler = threading.Thread(target=loop, daemon=True)
+    _scheduler.start()
diff --git a/services/smartschool_api.py b/services/smartschool_api.py
new file mode 100644
index 0000000..b7b4a8e
--- /dev/null
+++ b/services/smartschool_api.py
@@ -0,0 +1,122 @@
+import zeep
+import json
+
+class SmartschoolService:
+    def __init__(self, platform, webservice_pwd):
+        #-----------------------------------
+        clean_platform = platform.replace("https://", "").replace("http://", "").split('/')[0]
+        
+        self.platform = clean_platform
+
+        #------------------------------
+        #self.platform = platform
+        self.webservice_pwd = webservice_pwd
+        self.wsdl_url = f"https://{self.platform}/Webservices/V3?wsdl"
+        self.client = zeep.Client(wsdl=self.wsdl_url)
+
+    def get_student_details(self, search_term):
+        """Zoekt een student op basis van internnummer of gebruikersnaam."""
+        try:
+            # Poging 1: Via internnummer
+            raw_result = self.client.service.getUserDetails(self.webservice_pwd, search_term)
+            if raw_result and isinstance(raw_result, str) and raw_result.startswith('{'):
+                return json.loads(raw_result)
+
+            # Poging 2: Via gebruikersnaam
+            raw_result_alt = self.client.service.getUserDetailsByUsername(self.webservice_pwd, search_term)
+            if raw_result_alt and isinstance(raw_result_alt, str) and raw_result_alt.startswith('{'):
+                return json.loads(raw_result_alt)
+            
+            return None
+        except Exception as e:
+            print(f"Service Error (GetDetails): {e}")
+            return None
+
+    def get_co_accounts_from_details(self, username):
+        """Haalt co-accounts op en onthoudt hun index (1-6) voor wachtwoordresets."""
+        try:
+            raw_result = self.client.service.getUserDetailsByUsername(self.webservice_pwd, username)
+            if raw_result and isinstance(raw_result, str) and raw_result.startswith('{'):
+                data = json.loads(raw_result)
+                co_accounts = []
+                for i in range(1, 7):
+                    voornaam = data.get(f"voornaam_coaccount{i}")
+                    if voornaam:
+                        co_accounts.append({
+                            "voornaam": voornaam,
+                            "naam": data.get(f"naam_coaccount{i}", ""),
+                            "type": data.get(f"type_coaccount{i}", "Co-account"),
+                            "index": i, # Belangrijk voor savePassword
+                            "parent_internnummer": data.get("internnummer") # Nodig voor de reset actie
+                        })
+                return co_accounts
+            return []
+        except Exception as e:
+            print(f"Service Error (Co-Accounts): {e}")
+            return []
+
+    def reset_password(self, identifier, new_password, account_type=0):
+        """
+        account_type: 0 voor leerling, 1-6 voor co-accounts.
+        """
+        try:
+            # Gebruik de parameters uit je werkende voorbeeld
+            result_code = self.client.service.savePassword(
+                self.webservice_pwd, 
+                identifier, 
+                new_password, 
+                account_type, 
+                0 
+            )
+            return str(result_code)
+        except Exception as e:
+            print(f"Service Error (ResetPassword): {e}")
+            return "ERROR"
+
+    def get_co_accounts_with_login(self, username):
+        """Haalt co-accounts op met de exacte velden uit de Smartschool JSON."""
+        try:
+            # Gebruik de bestaande methode om de JSON op te halen
+            raw_result = self.client.service.getUserDetailsByUsername(self.webservice_pwd, username)
+            
+            if raw_result and isinstance(raw_result, str) and raw_result.startswith('{'):
+                data = json.loads(raw_result)
+                co_accounts = []
+                
+                # Smartschool ondersteunt tot 6 co-accounts
+                for i in range(1, 7):
+                    voornaam = data.get(f"voornaam_coaccount{i}")
+                    # Alleen toevoegen als er daadwerkelijk een voornaam is ingevuld (account bestaat)
+                    if voornaam and voornaam.strip() != "":
+                        # Gebruik het specifieke veld uit jouw JSON voorbeeld
+                        last_login = data.get(f"last_successful_login_coaccount{i}")
+                        
+                        co_accounts.append({
+                            "voornaam": voornaam,
+                            "naam": data.get(f"naam_coaccount{i}", ""),
+                            "type": data.get(f"type_coaccount{i}", "Onbekend"),
+                            "last_login": last_login if last_login else "Nooit ingelogd",
+                            "email": data.get(f"email_coaccount{i}", ""),
+                            "index": i
+                        })
+                return co_accounts
+            return []
+        except Exception as e:
+            print(f"Fout bij ophalen co-account status: {e}")
+            return []
+        
+    def get_coaccount_report(self, search_query):
+        """
+        Bundelt alle logica: zoekt student, formatteert naam en haalt co-accounts op.
+        Geeft een tuple terug: (student_naam, resultaten_lijst)
+        """
+        student_data = self.get_student_details(search_query)
+
+        if not student_data:
+            return None, []
+
+        student_name = f"{student_data.get('voornaam')} {student_data.get('naam')}"
+        username = student_data.get('gebruikersnaam')
+        results = self.get_co_accounts_with_login(username)
+
+        return student_name, results    
\ No newline at end of file
diff --git a/services/sync_service.py b/services/sync_service.py
new file mode 100644
index 0000000..5f84dad
--- /dev/null
+++ b/services/sync_service.py
@@ -0,0 +1,549 @@
+import json
+import requests
+from datetime import datetime, timezone  # Essentieel voor de timestamp
+from dateutil.relativedelta import relativedelta
+from config import Config
+from database import execute_query
+
+# Informat geeft de volledige leerlingenlijst soms pas na een minuut of langer terug.
+# (verbinden, lezen) in seconden
+INFORMAT_TIMEOUT = (15, 300)
+ONEROSTER_TIMEOUT = (15, 120)
+
+
+def informat_get(url, headers, pogingen=2):
+    """GET naar Informat met ruime wachttijd; bij een time-out nog één keer opnieuw."""
+    for poging in range(1, pogingen + 1):
+        try:
+            return requests.get(url, headers=headers, timeout=INFORMAT_TIMEOUT)
+        except requests.exceptions.Timeout:
+            if poging == pogingen:
+                raise RuntimeError(
+                    f"Informat antwoordde niet binnen {INFORMAT_TIMEOUT[1] // 60} minuten "
+                    f"({pogingen} pogingen). Probeer het later opnieuw; Informat is soms traag of in onderhoud.")
+            print(f"[Informat] time-out, nieuwe poging ({poging + 1}/{pogingen})...")
+
+
+def zorg_vertrokken_kolom():
+    """Kolom Leerlingen.Vertrokken_op toevoegen in een bestaande schooldatabase (één keer per school)."""
+    try:
+        from tenancy import huidige_school
+        school = huidige_school()
+    except Exception:
+        school = None
+    if school is not None and school.cache.get('lln_vertrokken_kolom'):
+        return
+    kolommen = {r['Field'].lower() for r in execute_query("SHOW COLUMNS FROM Leerlingen") or []}
+    if 'vertrokken_op' not in kolommen:
+        execute_query("ALTER TABLE Leerlingen ADD COLUMN Vertrokken_op DATE NULL AFTER Schooljaar_ID", commit=True)
+    if school is not None:
+        school.cache['lln_vertrokken_kolom'] = True
+
+
+def veld_waarden(obj, pad):
+    """Alle waarden op een pad met punten, ook door lijsten heen: veld_waarden(st, 'inschrijvingen.vestiging')."""
+    huidig = [obj]
+    for deel in pad.split('.'):
+        volgende = []
+        for o in huidig:
+            items = o if isinstance(o, list) else [o]
+            for it in items:
+                if isinstance(it, dict) and deel in it:
+                    volgende.append(it[deel])
+        huidig = volgende
+    uit = []
+    for h in huidig:
+        uit.extend(h if isinstance(h, list) else [h])
+    return uit
+
+
+class SyncService:
+    def __init__(self):
+        self.conf = Config()
+        # Informat-gegevens van de huidige school (beheerd via /scholen).
+        # Een school kan meerdere Informat-instellingsnummers hebben (één per campus).
+        self.campussen = Config.INFORMAT_CAMPUSSEN or []
+        self.institute_no = Config.INFORMAT_INST_NUMBER
+        self.auth_url = Config.INFORMAT_AUTH_URL
+        self.api_base = Config.INFORMAT_API_BASE
+        # De scope MOET het instellingsnummer bevatten
+        self.scope = Config.INFORMAT_FULL_SCOPE
+
+    def get_informat_token(self, nummer=None):
+        """Haalt een token op met de scope van het (eerste of opgegeven) instellingsnummer."""
+        from tenancy import informat_scope
+        scope = informat_scope(Config.INFORMAT_SCOPE, nummer) if nummer else self.scope
+        payload = {
+            'grant_type': 'client_credentials',
+            'client_id': self.conf.INFORMAT_ID,
+            'client_secret': self.conf.INFORMAT_SECRET,
+            'scope': scope
+        }
+        try:
+            response = requests.post(self.auth_url, data=payload, timeout=10)
+            if response.status_code == 200:
+                return response.json().get('access_token')
+        except Exception:
+            return None
+        return None
+
+    def tel_leerlingen(self, refdate, schooljaar, nummer=None):
+        """Aantal leerlingen in Informat op `refdate` (YYYY-MM-DD) voor `schooljaar` (bv. 2026-27), voor één
+        instellingsnummer (standaard het eerste). Geeft (True, aantal) of (False, foutmelding)."""
+        nummer = nummer or self.institute_no
+        token = self.get_informat_token(nummer)
+        if not token:
+            return False, f"Authenticatie bij Informat mislukt (instellingsnummer {nummer})."
+        url = f"{self.api_base}/students/?schoolYear={schooljaar}&refdate={refdate}"
+        headers = {
+            'Authorization': f'BEARER {token}',
+            'InstituteNo': nummer,
+            'Timestamp': datetime.now(timezone.utc).strftime('%Y-%m-%dT%H:%M:%S.000Z'),  # verplicht bij Informat
+            'Api-Version': '1',
+            'Accept': 'application/json'
+        }
+        try:
+            response = informat_get(url, headers)
+        except Exception as e:
+            return False, f"Fout tijdens tellen: {e}"
+        if response.status_code != 200:
+            return False, f"API fout {response.status_code} (instellingsnummer {nummer}): {response.text[:300]}"
+        data = response.json()
+        lijst = data if isinstance(data, list) else data.get('students', [])
+        self._laatste_lijst = lijst          # voor tellen per campusveld en de veldentest
+        return True, len(lijst)
+
+    def informat_lijst(self, refdate, schooljaar, nummer=None):
+        """De volledige leerlingenlijst van Informat (zelfde oproep als het tellen). (True, lijst) of (False, fout)."""
+        ok, res = self.tel_leerlingen(refdate, schooljaar, nummer)
+        return (True, self._laatste_lijst) if ok else (False, res)
+
+    def tel_locatie(self, refdate, schooljaar, locatie_id):
+        """Aantal leerlingen op één schoollocatie (Discimus-nummer) via de Informat Student API
+        (GET /smartschool-users). Geeft (True, aantal) of (False, foutmelding).
+        Let op: deze API telt enkel leerlingen met een actieve inschrijving (gerealiseerd of parallel, niet GON)
+        op een locatie die aan het Smartschool-platform gekoppeld is."""
+        platform = (Config.SS_API_PLATFORM or '').strip()
+        if not platform:
+            return False, ("Voor het tellen per campus moet het Smartschool-platform ingevuld zijn "
+                           "(🔌 Koppelingen › Smartschool).")
+        token = self.get_informat_token(self.institute_no)
+        if not token:
+            return False, f"Authenticatie bij Informat mislukt (instellingsnummer {self.institute_no})."
+        url = f"{str(Config.INFORMAT_STUDENT_API).rstrip('/')}/smartschool-users"
+        headers = {'Authorization': f'Bearer {token}', 'instituteNo': self.institute_no, 'Accept': 'application/json'}
+        # Informat vergelijkt het platformadres letterlijk met wat er in Informat staat. Dat kan met of zonder
+        # https:// of een / op het einde opgeslagen zijn: probeer de varianten tot er één gekend is (en onthoud die).
+        varianten = list(dict.fromkeys([v for v in (getattr(self, '_ss_platform_url', None), f"https://{platform}",
+                                                    platform, f"https://{platform}/", f"http://{platform}") if v]))
+        response, geprobeerd = None, []
+        for platform_url in varianten:
+            params = {'smartschoolPlatformUrl': platform_url, 'schoolYear': schooljaar,
+                      'locationIdDiscimus': int(locatie_id) if str(locatie_id).isdigit() else locatie_id,
+                      'referenceDate': refdate}
+            try:
+                for poging in (1, 2):
+                    try:
+                        response = requests.get(url, params=params, headers=headers, timeout=INFORMAT_TIMEOUT)
+                        break
+                    except requests.exceptions.Timeout:
+                        if poging == 2:
+                            raise RuntimeError("Informat antwoordde niet op tijd.")
+            except Exception as e:
+                return False, f"Fout tijdens tellen: {e}"
+            geprobeerd.append(platform_url)
+            if response.status_code == 409 and 'smartschoolplatform' in response.text.lower():
+                continue                                # platform onder dit adres niet gekend: volgende variant
+            self._ss_platform_url = platform_url
+            break
+        if response.status_code != 200:
+            detail = ''
+            try:
+                detail = response.json().get('detail') or ''
+            except ValueError:
+                detail = response.text[:200]
+            if response.status_code == 409 and 'smartschoolplatform' in response.text.lower():
+                return False, (f"Informat kent het Smartschool-platform niet voor instellingsnummer {self.institute_no} "
+                               f"en schooljaar {schooljaar} (geprobeerd: {', '.join(geprobeerd)}). Is in Informat "
+                               "voor dit instellingsnummer en dit schooljaar een Smartschool-koppeling actief?")
+            return False, f"Student API fout {response.status_code} (campus {locatie_id}): {detail}"
+        data = response.json()
+        lijst = data if isinstance(data, list) else data.get('items', [])
+        # Eén leerling kan meer dan één inschrijving hebben: uniek op persoon
+        return True, len({u['ppersoon'] if u.get('ppersoon') is not None else (u.get('persoonId') or id(u))
+                          for u in lijst})
+
+    def tel_per_campus(self, refdate, schooljaar):
+        """Geeft (True, totaal, detail) of (False, fout, None). detail = [{'naam', 'nummer', 'aantal'}] als de
+        school meerdere campussen heeft, anders None.
+        - Campussen (Discimus-nummers) ingesteld → per locatie geteld via de Student API.
+        - Anders: per instellingsnummer (meestal één) via de leerlingen-API zoals voorheen."""
+        locaties = Config.INFORMAT_LOCATIES or []
+        veld = (Config.INFORMAT_CAMPUS_VELD or '').strip()
+        if veld:
+            return self._tel_op_veld(refdate, schooljaar, veld, dict(locaties))
+        if locaties:
+            telling = [(loc, naam, lambda loc=loc: self.tel_locatie(refdate, schooljaar, loc)) for loc, naam in locaties]
+        else:
+            campussen = self.campussen or [(self.institute_no, '')]
+            telling = [(nr, naam, lambda nr=nr: self.tel_leerlingen(refdate, schooljaar, nr)) for nr, naam in campussen]
+        detail, totaal = [], 0
+        for nummer, naam, tel in telling:
+            ok, res = tel()
+            if not ok:
+                return False, (f"{naam}: {res}" if len(telling) > 1 else res), None
+            detail.append({'naam': naam or nummer, 'nummer': nummer, 'aantal': res})
+            totaal += res
+        return True, totaal, (detail if len(detail) > 1 else None)
+
+    def _tel_op_veld(self, refdate, schooljaar, veld, namen):
+        """Haalt de leerlingenlijst één keer op en telt per waarde van `veld` (pad met punten, bv.
+        'inschrijvingen.vestiging'). `namen` vertaalt een waarde naar een campusnaam (uit 'Campussen')."""
+        lijst, gezien = [], set()
+        for nummer, naam in (self.campussen or [(self.institute_no, '')]):   # alle instellingsnummers van de school
+            ok, deel = self.informat_lijst(refdate, schooljaar, nummer)
+            if not ok:
+                return False, (f"{naam}: {deel}" if len(self.campussen) > 1 else deel), None
+            for st in deel:
+                sleutel = str(st.get('pPersoon') or st.get('id') or id(st))
+                if sleutel not in gezien:
+                    gezien.add(sleutel)
+                    lijst.append(st)
+        per = {}
+        for st in lijst:
+            for w in set(str(v) for v in veld_waarden(st, veld) if v not in (None, '')) or {'?'}:
+                per[w] = per.get(w, 0) + 1
+        volgorde = [w for w in namen if w in per] + sorted(w for w in per if w not in namen)
+        detail = [{'naam': namen.get(w) or (f"Onbekend ({veld} leeg)" if w == '?' else f"Campus {w}"),
+                   'nummer': '' if w == '?' else w, 'aantal': per[w]} for w in volgorde]
+        return True, len(lijst), (detail if len(detail) > 1 else None)
+
+    def sync_student_count(self, school_naam=None):
+        """Huidig aantal (peildatum vandaag + 1 maand, zodat net ingeschreven leerlingen meetellen)."""
+        refdate = (datetime.now() + relativedelta(months=1)).strftime('%Y-%m-%d')
+        ok, res, detail = self.tel_per_campus(refdate, Config.SCHOOLYEAR)
+        if not ok:
+            return False, res
+        # Bewaren bij de school in de centrale database (overzicht scholengroep)
+        from database import central_query
+        central_query("UPDATE Scholen SET Leerlingenaantal = %s, Leerlingenaantal_detail = %s, "
+                      "Leerlingenaantal_sync = NOW() WHERE Code = %s",
+                      (res, json.dumps(detail) if detail else None, Config.SCHOOLNAME_SHORT), commit=True)
+        if detail:
+            return True, f"Synchronisatie voltooid: {res} leerlingen (" + ", ".join(
+                f"{d['naam']}: {d['aantal']}" for d in detail) + ")."
+        return True, f"Synchronisatie voltooid: {res} leerlingen."
+
+    def tel_op_peildatum(self, peildatum, door=None):
+        """Telt de leerlingen op een gekozen datum en bewaart het resultaat in Leerlingenaantal_tellingen."""
+        from database import central_query
+        from tenancy import huidige_school, _automatisch_schooljaar
+        schooljaar = _automatisch_schooljaar(peildatum)
+        ok, res, detail = self.tel_per_campus(peildatum.strftime('%Y-%m-%d'), schooljaar)
+        if not ok:
+            return False, res
+        central_query(
+            "INSERT INTO Leerlingenaantal_tellingen (School_ID, Peildatum, Schooljaar, Aantal, Detail, Opgevraagd_op, Door) "
+            "VALUES (%s, %s, %s, %s, %s, NOW(), %s) "
+            "ON DUPLICATE KEY UPDATE Schooljaar = VALUES(Schooljaar), Aantal = VALUES(Aantal), Detail = VALUES(Detail), "
+            "Opgevraagd_op = NOW(), Door = VALUES(Door)",
+            (huidige_school().id, peildatum, schooljaar, res, json.dumps(detail) if detail else None, door),
+            commit=True)
+        return True, res
+
+    #Haal ss token op
+    def get_smartschool_token(self):
+        """Haalt een OAuth2 token op bij Smartschool."""
+        resp_ss = requests.post(
+            self.conf.SS_TOKEN_URL,
+            data={"grant_type": "client_credentials"},
+            auth=(self.conf.SS_CLIENT_ID, self.conf.SS_CLIENT_SECRET)
+        )
+        return resp_ss.json().get("access_token")
+
+    #Vergelijkt leerlingenlijst uit informat met namen uit DB en vult eventuele ontbrekende leerlingen aan met gegevens van Informat (Internnummer) en Smartschool (Gebruikersnaam)
+    def sync_leerlingen_informat(self):
+        """
+        Synchroniseert leerlingen door Informat data te vergelijken met de DB 
+        en ontbrekende data aan te vullen via Smartschool.
+        """
+        try:
+            # 1. Haal Informat data op
+            inf_token = self.get_informat_token()
+            
+            #Ik zet als parameter voor het ophalen huidige datum +1 maand om leerlingen die net ingeschreven zijn en pas na een vakantie starten mee te kunnen rekenen
+            future_date = datetime.now() + relativedelta(months=1)
+            refdate = future_date.strftime('%Y-%m-%d')
+
+
+            inf_url = f"{self.api_base}/students/?schoolYear={self.conf.INFORMAT_SCHOOLYEAR}&refdate={refdate}"
+            inf_headers = {
+                'Authorization': f'BEARER {inf_token}', 
+                'InstituteNo': self.institute_no,
+                'Api-Version': '1', 
+                'Accept': 'application/json'
+            }
+            inf_data = requests.get(inf_url, headers=inf_headers).json()
+
+            if not inf_data or 'students' not in inf_data:
+                return False, "Geen data van Informat ontvangen"
+
+            # 2. Haal Bestaande Database data op
+            # We gebruiken execute_query om alle bestaande Internnummers op te halen
+            db_rows = execute_query("SELECT Internnummer FROM Leerlingen")
+            db_numbers = {str(row['Internnummer']) for row in db_rows} if db_rows else set()
+
+            # 3. Zoek ontbrekende ID's (Informat - Database)
+            json_numbers = {str(s['pPersoon']) for s in inf_data['students'] if 'pPersoon' in s}
+            missing_ids = json_numbers - db_numbers
+
+            if not missing_ids:
+                return True, "Iedereen is al gesynchroniseerd."
+
+            # 4. Haal Smartschool data op voor de match
+            ss_token = self.get_smartschool_token()
+            ss_res = requests.get(
+                f"{self.conf.SS_BASE_URL}/students", 
+                headers={"Authorization": f"Bearer {ss_token}"}
+            )
+            ss_students = ss_res.json().get("users", [])
+
+            added_count = 0
+            for m_id in missing_ids:
+                found_username = None
+                for ss_student in ss_students:
+                    ss_internal = str(ss_student.get("metadata", {}).get("smsc.internalNumber", ""))
+                    
+                    if ss_internal.strip() == m_id.strip():
+                        found_username = ss_student.get("username")
+                        break
+                
+                if found_username:
+                    # 5. DATABASE INVOER
+                    execute_query(
+                        "INSERT INTO Leerlingen (Internnummer, Gebruikersnaam, ss_nummer) VALUES (%s, %s, %s)",
+                        (m_id, found_username, "Niet ingesteld"),
+                        commit=True
+                    )
+                    added_count += 1
+
+            return True, f"Succes! {added_count} leerlingen toegevoegd."
+
+        except Exception as e:
+            return False, f"Fout tijdens synchronisatie: {str(e)}"
+        
+
+
+
+
+#---------------------Nieuwe aanpak------------------------
+import requests
+from datetime import datetime, timezone
+from config import Config
+from database import execute_query
+
+class InformatSmartschoolSync:
+
+
+    def __init__(self):
+        self.conf = Config()
+        # Informat-gegevens van de huidige school (beheerd via /scholen)
+        self.institute_no = Config.INFORMAT_INST_NUMBER
+        self.auth_url = Config.INFORMAT_AUTH_URL
+        self.api_base = Config.INFORMAT_API_BASE
+        # De scope MOET het instellingsnummer bevatten
+        self.scope = Config.INFORMAT_FULL_SCOPE
+        self.campussen = Config.INFORMAT_CAMPUSSEN or [(self.institute_no, '')]
+
+    def get_informat_token(self, nummer=None):
+        """Haalt token op met de scope van het (eerste of opgegeven) instellingsnummer."""
+        from tenancy import informat_scope
+        payload = {
+            'grant_type': 'client_credentials',
+            'client_id': self.conf.INFORMAT_ID,
+            'client_secret': self.conf.INFORMAT_SECRET,
+            'scope': informat_scope(Config.INFORMAT_SCOPE, nummer) if nummer else self.scope
+        }
+        try:
+            response = requests.post(self.auth_url, data=payload, timeout=10)
+            if response.status_code == 200:
+                return response.json().get('access_token')
+        except Exception as e:
+            print(f"Fout bij ophalen Informat token: {e}")
+        return None
+
+    def get_smartschool_oneroster_students(self):
+        """Haalt actieve leerlingen op uit de Smartschool OneRoster API (v1p1). Bij een fout: {}."""
+        mapping, fout = self.smartschool_koppeling()
+        if fout:
+            print(f"Fout bij ophalen Smartschool OneRoster data: {fout}")
+        return mapping
+
+    def smartschool_koppeling(self):
+        """{internnummer: {'username', 'ss_nummer'}} uit Smartschool OneRoster. Geeft (mapping, None) of ({}, fout)."""
+        if not (self.conf.SS_CLIENT_ID and self.conf.SS_CLIENT_SECRET):
+            return {}, "de OneRoster-koppeling van Smartschool is niet ingesteld"
+        try:
+            token_url = self.conf.SS_TOKEN_URL.strip()
+            if not token_url.startswith(("http://", "https://")):
+                token_url = f"https://{token_url}"
+
+            resp_ss = requests.post(
+                token_url, 
+                data={"grant_type": "client_credentials"}, 
+                auth=(self.conf.SS_CLIENT_ID, self.conf.SS_CLIENT_SECRET),
+                timeout=10
+            )
+            resp_ss.raise_for_status()
+            ss_token = resp_ss.json().get("access_token")
+            
+            if not ss_token:
+                return {}, "geen access_token ontvangen van Smartschool"
+
+            headers = {
+                "Authorization": f"Bearer {ss_token}",
+                "Accept": "application/json"
+            }
+            
+            base_url = self.conf.SS_BASE_URL.strip()
+            if not base_url.startswith(("http://", "https://")):
+                base_url = f"https://{base_url}"
+            
+            base_url = base_url.rstrip('/')
+            endpoint_url = f"{base_url}/students"
+            
+            response = requests.get(endpoint_url, headers=headers, timeout=ONEROSTER_TIMEOUT)
+            response.raise_for_status()
+            
+            json_data = response.json()
+            all_students = json_data.get("users", [])
+
+            ss_mapping = {}
+            for student in all_students:
+                metadata = student.get("metadata", {})
+                internal_number = metadata.get("smsc.internalNumber")
+                username = student.get("username")
+                sourced_id = student.get("sourcedId")
+
+                if internal_number:
+                    ss_mapping[str(internal_number).strip()] = {
+                        "username": username,
+                        "ss_nummer": sourced_id if sourced_id else "Niet ingesteld"
+                    }
+            if not ss_mapping:
+                return {}, "Smartschool gaf geen enkele leerling met een internnummer terug"
+            return ss_mapping, None
+
+        except Exception as e:
+            return {}, str(e)
+
+    def _informat_leerlingen(self, nummer, school_year, refdate):
+        """Leerlingenlijst van één instellingsnummer. Geeft (lijst, None) of (None, fout)."""
+        inf_token = self.get_informat_token(nummer)
+        if not inf_token:
+            return None, f"Informat authenticatie mislukt (instellingsnummer {nummer})."
+        base_url_inf = self.api_base.strip().rstrip('/')
+        url = f"{base_url_inf}/students/?schoolYear={school_year}&refdate={refdate}"
+        headers = {
+            'Authorization': f'BEARER {inf_token}',
+            'InstituteNo': nummer,
+            'Timestamp': datetime.now(timezone.utc).strftime('%Y-%m-%dT%H:%M:%S.000Z'),
+            'Api-Version': '1',
+            'Accept': 'application/json'
+        }
+        response = informat_get(url, headers)
+        if response.status_code != 200:
+            return None, f"Informat API fout {response.status_code} (instellingsnummer {nummer}): {response.text}"
+        json_data = response.json()
+        return (json_data if isinstance(json_data, list) else json_data.get('students', json_data.get('items', []))), None
+
+    def sync_actieve_leerlingen(self):
+        """
+        Haalt actieve leerlingen op bij Informat (alle campussen / instellingsnummers van de school),
+        koppelt Smartschool OneRoster info en update de database 'Leerlingen'.
+        """
+        school_year = Config.SCHOOLYEAR
+        # +1 maand: ook leerlingen die net ingeschreven zijn en pas na een vakantie starten
+        refdate = (datetime.now() + relativedelta(months=1)).strftime('%Y-%m-%d')
+
+        students_list, gezien = [], set()
+        try:
+            for nummer, naam in self.campussen:
+                lijst, fout = self._informat_leerlingen(nummer, school_year, refdate)
+                if fout:
+                    return False, (f"{naam}: {fout}" if len(self.campussen) > 1 else fout)
+                for st in lijst:
+                    sleutel = str(st.get('pPersoon') or st.get('internNummer') or st.get('id', '')).strip()
+                    if sleutel and sleutel not in gezien:
+                        gezien.add(sleutel)
+                        students_list.append(st)
+        except Exception as e:
+            return False, f"Fout opgetreden tijdens de synchronisatie: {str(e)}"
+
+        if not students_list:
+            # Nooit iedereen als vertrokken markeren omdat Informat (tijdelijk) een lege lijst gaf
+            return False, "Informat gaf geen enkele actieve leerling terug; er is niets aangepast."
+
+        # Smartschool (gebruikersnaam en Smartschool-nummer). Lukt dat niet, dan blijven die velden zoals ze waren.
+        ss_leerlingen, ss_fout = self.smartschool_koppeling()
+
+        try:
+            print(f"[DEBUG] Aantal actieve leerlingen gevonden in Informat: {len(students_list)}")
+            zorg_vertrokken_kolom()
+
+            db_rows = execute_query("SELECT Internnummer FROM Leerlingen")
+            bestaande_internnummers = {str(row['Internnummer']).strip() for row in db_rows} if db_rows else set()
+
+            toegevoegd_teller = bijgewerkt_teller = 0
+            schooljaar_id = Config.SCHOOLYEAR[:4]
+            actief = set()
+
+            for student in students_list:
+                internnummer = str(student.get('pPersoon') or student.get('internNummer') or student.get('id', '')).strip()
+                voornaam = (student.get('voornaam' if 'voornaam' in student else 'firstName') or '').strip()
+                naam = (student.get('naam' if 'naam' in student else 'lastName') or '').strip()
+                if not internnummer or internnummer == "None":
+                    continue
+                actief.add(internnummer)
+                ss_info = ss_leerlingen.get(internnummer)
+                standaard_gebruikersnaam = f"{voornaam}.{naam}".replace(" ", "").lower()
+
+                if internnummer in bestaande_internnummers:
+                    if ss_info:
+                        execute_query("""
+                            UPDATE Leerlingen SET Gebruikersnaam = %s, Voornaam = %s, Naam = %s, SS_nummer = %s,
+                                   Schooljaar_ID = %s, Vertrokken_op = NULL
+                            WHERE Internnummer = %s""",
+                            (ss_info.get("username") or standaard_gebruikersnaam, voornaam, naam,
+                             ss_info.get("ss_nummer") or "Niet ingesteld", schooljaar_id, internnummer), commit=True)
+                    else:
+                        # Niet (of niet bereikbaar) in Smartschool: gebruikersnaam en Smartschool-nummer niet overschrijven
+                        execute_query("""
+                            UPDATE Leerlingen SET Voornaam = %s, Naam = %s, Schooljaar_ID = %s, Vertrokken_op = NULL
+                            WHERE Internnummer = %s""", (voornaam, naam, schooljaar_id, internnummer), commit=True)
+                    bijgewerkt_teller += 1
+                else:
+                    ss_info = ss_info or {}
+                    execute_query("""
+                        INSERT INTO Leerlingen (Internnummer, Gebruikersnaam, Voornaam, Naam, SS_nummer, Schooljaar_ID)
+                        VALUES (%s, %s, %s, %s, %s, %s)""",
+                        (internnummer, ss_info.get("username") or standaard_gebruikersnaam, voornaam, naam,
+                         ss_info.get("ss_nummer") or "Niet ingesteld", schooljaar_id), commit=True)
+                    bestaande_internnummers.add(internnummer)
+                    toegevoegd_teller += 1
+
+            # Leerlingen die niet meer actief zijn in Informat: als vertrokken markeren (niet verwijderen)
+            nog_actief = execute_query("SELECT Internnummer FROM Leerlingen WHERE Vertrokken_op IS NULL") or []
+            weg = [r['Internnummer'] for r in nog_actief if str(r['Internnummer']).strip() not in actief]
+            for k in range(0, len(weg), 500):
+                deel = weg[k:k + 500]
+                execute_query(f"UPDATE Leerlingen SET Vertrokken_op = CURDATE() WHERE Internnummer IN "
+                              f"({', '.join(['%s'] * len(deel))})", tuple(deel), commit=True)
+
+            melding = f"{toegevoegd_teller} nieuw, {bijgewerkt_teller} bijgewerkt"
+            if weg:
+                melding += f", {len(weg)} als vertrokken gemarkeerd"
+            return True, {'melding': melding + '.', 'smartschool_fout': ss_fout}
+
+        except Exception as e:
+            return False, f"Fout opgetreden tijdens de synchronisatie: {str(e)}"
diff --git a/services/tabelnamen.py b/services/tabelnamen.py
new file mode 100644
index 0000000..52cfef4
--- /dev/null
+++ b/services/tabelnamen.py
@@ -0,0 +1,148 @@
+"""
+Tabelnamen met hoofdletters herstellen (Windows → Linux).
+
+MySQL op Windows bewaart tabelnamen standaard in kleine letters (lower_case_table_names = 1) en maakt hoofdletters
+niet uit. Op Linux (lower_case_table_names = 0) zijn 'toestellen' en 'Toestellen' twee verschillende tabellen.
+Een database die van Windows komt, heeft dan enkel kleine letters, terwijl PIVOT 'Toestellen' zoekt (en een lege
+nieuwe aanmaakt).
+
+Bij het opstarten loopt PIVOT daarom de centrale database en de database van elke school na. Enkel op een server
+waar hoofdletters tellen (lower_case_table_names = 0), en enkel voor de tabellen die PIVOT kent:
+  - alleen 'toestellen' bestaat           → hernoemd naar 'Toestellen'
+  - beide bestaan, 'Toestellen' is leeg   → de lege 'Toestellen' weg, 'toestellen' hernoemd naar 'Toestellen'
+  - beide bestaan, 'toestellen' is leeg   → niets nodig ('Toestellen' wordt gebruikt), enkel gemeld
+  - beide bevatten gegevens               → niets aangeraakt, gemeld in het logboek (handmatig samenvoegen)
+Op Windows (of met lower_case_table_names = 1 of 2) doet dit niets.
+"""
+import glob
+import os
+import re
+import sys
+
+_RE = re.compile(r"CREATE\s+TABLE\s+IF\s+NOT\s+EXISTS\s+`?([A-Za-z_][A-Za-z0-9_]*)`?", re.I)
+_namen = None
+
+
+def verwachte_namen():
+    """Alle tabelnamen met minstens één hoofdletter, zoals PIVOT ze aanmaakt (uit de SQL-bestanden en de code)."""
+    global _namen
+    if _namen is None:
+        basis = os.path.dirname(os.path.dirname(os.path.abspath(__file__)))
+        bestanden = glob.glob(os.path.join(basis, 'sql', '*.sql')) + glob.glob(os.path.join(basis, '*.py')) \
+            + glob.glob(os.path.join(basis, 'services', '*.py')) + glob.glob(os.path.join(basis, 'blueprints', '*.py'))
+        namen = set()
+        for pad in bestanden:
+            try:
+                with open(pad, encoding='utf-8', errors='ignore') as f:
+                    namen.update(n for n in _RE.findall(f.read()) if n != n.lower())
+            except OSError:
+                continue
+        _namen = sorted(namen)
+    return _namen
+
+
+def _q(cur, sql, params=()):
+    cur.execute(sql, params)
+    return cur.fetchall() if cur.with_rows else []
+
+
+def herstel(conn, label):
+    """Herstelt de tabelnamen in de database van `conn`. Geeft een lijst meldingen (leeg = niets gedaan)."""
+    meldingen = []
+    cur = conn.cursor()
+    try:
+        lctn = _q(cur, "SELECT @@lower_case_table_names")
+        if not lctn or int(lctn[0][0]) != 0:
+            return meldingen                    # Windows/macOS-gedrag: hoofdletters maken niet uit
+        bestaand = [r[0] for r in _q(cur, "SELECT TABLE_NAME FROM information_schema.TABLES "
+                                           "WHERE TABLE_SCHEMA = DATABASE() AND TABLE_TYPE = 'BASE TABLE'")]
+        if not bestaand:
+            return meldingen
+        per_klein = {}
+        for t in bestaand:
+            per_klein.setdefault(t.lower(), []).append(t)
+        te_doen = []
+        for naam in verwachte_namen():
+            varianten = [t for t in per_klein.get(naam.lower(), []) if t != naam]
+            if not varianten:
+                continue
+            if len(varianten) > 1:
+                meldingen.append(f"{label}: meerdere varianten van {naam} ({', '.join(varianten)}), niets gewijzigd")
+                continue
+            te_doen.append((naam, varianten[0], naam in per_klein.get(naam.lower(), [])))
+        if not te_doen:
+            return meldingen
+
+        aantal = lambda t: int(_q(cur, f"SELECT COUNT(*) FROM `{t}`")[0][0])
+        _q(cur, "SET FOREIGN_KEY_CHECKS = 0")
+        try:
+            for naam, oud, juiste_bestaat in te_doen:
+                try:
+                    if juiste_bestaat:
+                        n_juist, n_oud = aantal(naam), aantal(oud)
+                        if n_oud == 0:
+                            meldingen.append(f"{label}: {oud} is leeg en wordt niet gebruikt ({naam} wel); "
+                                             f"je mag {oud} verwijderen")
+                            continue
+                        if n_juist > 0:
+                            meldingen.append(f"{label}: zowel {oud} ({n_oud} rijen) als {naam} ({n_juist} rijen) "
+                                             f"bevatten gegevens; niets gewijzigd, voeg ze zelf samen")
+                            continue
+                        _q(cur, f"DROP TABLE `{naam}`")
+                        _q(cur, f"RENAME TABLE `{oud}` TO `{naam}`")
+                        meldingen.append(f"{label}: lege {naam} vervangen door {oud} ({n_oud} rijen)")
+                    else:
+                        _q(cur, f"RENAME TABLE `{oud}` TO `{naam}`")
+                        meldingen.append(f"{label}: {oud} hernoemd naar {naam}")
+                except Exception as e:
+                    meldingen.append(f"{label}: {oud} → {naam} mislukt: {e}")
+        finally:
+            _q(cur, "SET FOREIGN_KEY_CHECKS = 1")
+        conn.commit()
+    finally:
+        cur.close()
+    return meldingen
+
+
+def _verbinding(host, user, password, database):
+    """Eén losse verbinding (geen pool): bij het opstarten zou een pool per school anders meteen
+    5 verbindingen per school openen en blijven vasthouden ("Too many connections")."""
+    import mysql.connector
+    from config import Config
+    return mysql.connector.connect(host=host, port=Config.DB_PORT, user=user, password=password, database=database,
+                                   connection_timeout=10, charset='utf8mb4', collation='utf8mb4_unicode_ci')
+
+
+def herstel_centraal():
+    from config import Config
+    conn = _verbinding(Config.DB_HOST, Config.DB_USER, Config.DB_PASSWORD, Config.DB_CENTRAAL)
+    try:
+        return _log(herstel(conn, 'centrale database'))
+    finally:
+        conn.close()
+
+
+def herstel_school(school):
+    cfg = school.db_config()
+    conn = _verbinding(cfg['host'], cfg['user'], cfg['password'], cfg['database'])
+    try:
+        return _log(herstel(conn, f"school {school.code}"))
+    finally:
+        conn.close()
+
+
+def herstel_alle_scholen():
+    from tenancy import alle_scholen
+    uit = []
+    for school in alle_scholen(ook_inactief=True):
+        try:
+            uit += herstel_school(school)
+        except Exception as e:
+            uit += _log([f"school {school.code}: tabelnamen nakijken mislukt: {e}"])
+    return uit
+
+
+def _log(meldingen):
+    for m in meldingen:
+        print(f"PIVOT tabelnamen: {m}", file=sys.stderr, flush=True)
+    return meldingen
diff --git a/services/toestellen.py b/services/toestellen.py
new file mode 100644
index 0000000..6ef786e
--- /dev/null
+++ b/services/toestellen.py
@@ -0,0 +1,121 @@
+"""
+Hulpfuncties rond toestellen (tabellen Toestellen, Signpost_DB, Opmerkingen, Eigendom).
+
+Het toestelnummer dat gebruikers intypen (vroeger 'KAMXM_nummer') is Toestellen.Schooleigen_ID.
+"""
+from datetime import datetime, date
+
+from database import execute_query, execute_insert
+
+# Laatste opmerking van een toestel (subquery, t = alias van Toestellen)
+LAATSTE_OPMERKING = ("(SELECT o.Opmerking FROM Opmerkingen o WHERE o.Toestel_ID = t.Toestel_ID "
+                     "ORDER BY o.Timestamp DESC, o.Opmerking_ID DESC LIMIT 1)")
+
+
+def zoek_toestel(nummer):
+    """Toestel op toestelnummer (Schooleigen_ID) of, als dat niet bestaat, op serienummer."""
+    nummer = str(nummer or '').strip()
+    if not nummer:
+        return None
+    rows = execute_query("SELECT * FROM Toestellen WHERE Schooleigen_ID = %s", (nummer,))
+    if not rows:
+        rows = execute_query("SELECT * FROM Toestellen WHERE Serienummer = %s", (nummer,))
+    return rows[0] if rows else None
+
+
+def zoek_leerling(nummer):
+    """Leerling op internnummer of Smartschool-nummer."""
+    rows = execute_query("SELECT * FROM Leerlingen WHERE Internnummer = %s OR SS_nummer = %s LIMIT 1",
+                         (str(nummer).strip(), str(nummer).strip()))
+    return rows[0] if rows else None
+
+
+def laatste_opmerking(toestel_id):
+    rows = execute_query("SELECT Opmerking FROM Opmerkingen WHERE Toestel_ID = %s "
+                         "ORDER BY Timestamp DESC, Opmerking_ID DESC LIMIT 1", (toestel_id,))
+    return rows[0]['Opmerking'] if rows else None
+
+
+def voeg_opmerking_toe(toestel_id, tekst, gebruiker=None):
+    """Bewaart een opmerking als die verschilt van de laatste (zo blijft de geschiedenis bewaard)."""
+    tekst = (tekst or '').strip()
+    if tekst and tekst != (laatste_opmerking(toestel_id) or ''):
+        execute_query("INSERT INTO Opmerkingen (Toestel_ID, Opmerking, Timestamp, Gebruiker) VALUES (%s, %s, NOW(), %s)",
+                      (toestel_id, tekst, gebruiker), commit=True)
+
+
+def lees_datum(waarde):
+    """'2027-08-31', '31-08-2027' of '31/08/2027' → date. Leeg → None. Ongeldig → ValueError."""
+    if isinstance(waarde, date):
+        return waarde
+    w = (waarde or '').strip()
+    if not w:
+        return None
+    for fmt in ('%Y-%m-%d', '%d-%m-%Y', '%d/%m/%Y', '%d.%m.%Y'):
+        try:
+            return datetime.strptime(w, fmt).date()
+        except ValueError:
+            pass
+    raise ValueError(f"'{w}' is geen geldige datum (gebruik dd-mm-jjjj).")
+
+
+def bewaar_signpost(toestel_id, signpostnummer=None, garantie=None):
+    """Maakt/werkt de Signpost-gegevens van een toestel bij (enkel ingevulde velden)."""
+    signpostnummer = (signpostnummer or '').strip() or None
+    garantie = lees_datum(garantie)
+    if not signpostnummer and not garantie:
+        return
+    execute_query(
+        "INSERT INTO Signpost_DB (Toestel_ID, Signpostnummer, Garantie) VALUES (%s, %s, %s) "
+        "ON DUPLICATE KEY UPDATE Signpostnummer = COALESCE(VALUES(Signpostnummer), Signpostnummer), "
+        "Garantie = COALESCE(VALUES(Garantie), Garantie)",
+        (toestel_id, signpostnummer, garantie), commit=True)
+
+
+def nieuw_toestel(schooleigen_id=None, serienummer=None, type_toestel=None, status='Beschikbaar'):
+    return execute_insert(
+        "INSERT INTO Toestellen (Schooleigen_ID, Serienummer, Type, Status) VALUES (%s, %s, %s, %s)",
+        ((schooleigen_id or None), (serienummer or None), (type_toestel or None), status))
+
+
+def actieve_eigendom(toestel_id):
+    """Huidige toekenning van een toestel (Datum_inlevering leeg) of None."""
+    rows = execute_query("SELECT * FROM Eigendom WHERE Toestel_ID = %s AND Datum_inlevering IS NULL "
+                         "ORDER BY Datum_toekenning DESC LIMIT 1", (toestel_id,))
+    return rows[0] if rows else None
+
+
+# ---------------------------------------------------------------------------
+# Geblokkeerd in Google (kolom Toestellen.Geblokkeerd)
+# ---------------------------------------------------------------------------
+def ensure_geblokkeerd():
+    """Voegt de kolom Toestellen.Geblokkeerd toe als die nog niet bestaat. Bij het toevoegen krijgen toestellen die
+    bij een leerling geblokkeerd staan (Eigendom.Status = 1) meteen de waarde 1. Eén keer per school en proces."""
+    from tenancy import huidige_school
+    school = huidige_school()
+    if school.cache.get('kol_geblokkeerd'):
+        return
+    if not execute_query("SHOW COLUMNS FROM Toestellen LIKE 'Geblokkeerd'"):
+        execute_query("ALTER TABLE Toestellen ADD COLUMN Geblokkeerd TINYINT(1) NOT NULL DEFAULT 0 AFTER Status",
+                      commit=True)
+        execute_query("UPDATE Toestellen t JOIN Eigendom e ON e.Toestel_ID = t.Toestel_ID "
+                      "AND e.Datum_inlevering IS NULL AND e.Status = 1 SET t.Geblokkeerd = 1", commit=True)
+    school.cache['kol_geblokkeerd'] = True
+
+
+def zet_geblokkeerd(toestel_id, geblokkeerd):
+    """Bewaart de blokkeerstatus van een toestel, ook bij de huidige eigenaar (Eigendom.Status)."""
+    ensure_geblokkeerd()
+    w = 1 if geblokkeerd else 0
+    execute_query("UPDATE Toestellen SET Geblokkeerd = %s WHERE Toestel_ID = %s", (w, toestel_id), commit=True)
+    execute_query("UPDATE Eigendom SET Status = %s WHERE Toestel_ID = %s AND Datum_inlevering IS NULL",
+                  (w, toestel_id), commit=True)
+
+
+def is_geblokkeerd(toestel_id):
+    try:
+        ensure_geblokkeerd()
+        rows = execute_query("SELECT Geblokkeerd FROM Toestellen WHERE Toestel_ID = %s", (toestel_id,))
+        return bool(rows and int(rows[0]['Geblokkeerd'] or 0))
+    except Exception:
+        return False
diff --git a/services/tweestaps_service.py b/services/tweestaps_service.py
new file mode 100644
index 0000000..e976ea6
--- /dev/null
+++ b/services/tweestaps_service.py
@@ -0,0 +1,515 @@
+"""
+2FA-hulp: back-upcodes, tijdelijke uitzonderingen en overzicht van wie 2FA nog niet heeft ingesteld.
+
+Vereist (eenmalig, Google Admin-console):
+  1. Beveiliging › API-beheer › Domeinbrede delegatie: aan het service-account toevoegen
+         https://www.googleapis.com/auth/admin.directory.user.security   (back-upcodes)
+         https://www.googleapis.com/auth/admin.directory.group.member    (uitzonderingsgroep)
+  2. Een groep aanmaken, bv. 2fa-uitzondering@school.be, en bij
+     Beveiliging › Authenticatie › Verificatie in 2 stappen voor DIE GROEP
+     'Afdwingen' op UIT zetten (groepsinstellingen gaan boven de OU-instelling).
+  3. Het adres van die groep invullen in PIVOT › 🔌 Koppelingen van deze school › 🛡️ 2FA-hulp › Uitzonderingsgroep
+"""
+import sys
+import threading
+import time
+from datetime import datetime, timedelta
+
+from googleapiclient.discovery import build
+from googleapiclient.errors import HttpError
+from config import Config
+from database import execute_query
+from tenancy import google_credentials, school_singleton, alle_scholen, in_school
+
+SECURITY_SCOPE = 'https://www.googleapis.com/auth/admin.directory.user.security'
+GROUP_MEMBER_SCOPE = 'https://www.googleapis.com/auth/admin.directory.group.member'
+RESET_INTERVAL = 60              # wachtende 2FA-reset elke minuut opnieuw proberen
+CHECK_INTERVAL = 5 * 60          # elke 5 minuten verlopen uitzonderingen opruimen
+LIJST_CACHE = 10 * 60
+
+
+
+def _is_afgedwongen_fout(e):
+    """Google weigert turnOff zolang 2FA nog afgedwongen wordt (uitzonderingsgroep nog niet toegepast)."""
+    msg = str(e).lower()
+    return 'cannot be turned off' in msg or ('enforced' in msg and 'admin policy' in msg)
+
+def _is_netwerkfout(e):
+    """Tijdelijke verbindingsfout (SSL, time-out, Google 5xx): later opnieuw proberen."""
+    import socket, ssl
+    if isinstance(e, (ssl.SSLError, socket.timeout, ConnectionError, TimeoutError, OSError)):
+        return True
+    status = getattr(getattr(e, 'resp', None), 'status', None)
+    try:
+        return int(status) >= 500
+    except (TypeError, ValueError):
+        return False
+
+
+class TweestapsError(Exception):
+    pass
+
+
+class TweestapsService:
+    _scheduler = None      # één achtergrondtaak voor alle scholen
+
+    def __new__(cls):
+        # één instantie per school
+        def init(inst):
+            inst._clients = threading.local()   # Google-clients (httplib2) zijn niet thread-safe: één per thread
+            inst._directory = None
+            inst._lock = threading.Lock()
+            inst._lijst_cache = None
+        return school_singleton(cls, init)
+
+    # ---------------- clients ----------------
+    def _build(self, scope):
+        creds = google_credentials([scope], subject=Config.GOOGLE_ADMIN_EMAIL)
+        return build('admin', 'directory_v1', credentials=creds, static_discovery=False, cache_discovery=False)
+
+    def _client(self, naam, scope):
+        client = getattr(self._clients, naam, None)
+        if client is None:
+            client = self._build(scope)
+            setattr(self._clients, naam, client)
+        return client
+
+    def _security_api(self):
+        return self._client('security', SECURITY_SCOPE)
+
+    def _group_api(self):
+        return self._client('groups', GROUP_MEMBER_SCOPE)
+
+    def _directory_api(self):
+        if self._directory is None:
+            from services.google_service import GoogleAdminService
+            self._directory = GoogleAdminService().service
+        return self._directory
+
+    @staticmethod
+    def _friendly(e, scope=None):
+        msg = str(e)
+        status = getattr(getattr(e, 'resp', None), 'status', None)
+        if 'unauthorized_client' in msg or 'access_denied' in msg:
+            return (f"Google weigert de toegang. Voeg de scope {scope} toe aan de domeinbrede delegatie "
+                    "van het service-account." if scope else "Google weigert de toegang (scope ontbreekt).")
+        if _is_afgedwongen_fout(e):
+            return ("Google dwingt 2FA nog af voor deze gebruiker. De uitzonderingsgroep is nog niet "
+                    "toegepast (dat kan enkele minuten duren).")
+        if 'INVALID_OU_ID' in msg:
+            return ("Een organisatie-eenheid bestaat niet in Google. Controleer de OU's bij 🔌 Koppelingen van "
+                    "deze school › 🛡️ 2FA-hulp.")
+        if status == 404:
+            return "Gebruiker of groep niet gevonden."
+        if status == 403:
+            return "Geen toestemming voor deze actie bij Google."
+        return msg
+
+    ontbrekende_ous = []
+
+    def ou_melding(self):
+        if not self.ontbrekende_ous:
+            return None
+        return (f"Deze organisatie-eenheid bestaat niet in Google: {', '.join(self.ontbrekende_ous)}. "
+                "Pas ze aan bij 🔌 Koppelingen van deze school › 🛡️ 2FA-hulp › \"OU's voor 'nog geen 2FA'\" "
+                "(het volledige pad zoals in admin.google.com, bv. /Personeel/Leerkrachten; meerdere met komma's).")
+
+    @property
+    def exception_group(self):
+        return (Config.TWEESTAPS_UITZONDERING_GROEP or '').strip()
+
+    # ---------------- gebruiker opzoeken ----------------
+    def get_user(self, email):
+        email = (email or '').strip().lower()
+        if '@' not in email:
+            raise TweestapsError("Geef een volledig e-mailadres op.")
+        try:
+            u = self._directory_api().users().get(userKey=email).execute()
+        except HttpError as e:
+            if getattr(e.resp, 'status', None) == 404:
+                raise TweestapsError(f"{email} bestaat niet in jullie Google Workspace.")
+            raise TweestapsError(self._friendly(e))
+        return {
+            'email': u['primaryEmail'].lower(),
+            'naam': (u.get('name') or {}).get('fullName', ''),
+            'ou': u.get('orgUnitPath', ''),
+            'ingesteld': bool(u.get('isEnrolledIn2Sv')),
+            'afgedwongen': bool(u.get('isEnforcedIn2Sv')),
+            'geschorst': bool(u.get('suspended')),
+            'laatste_login': (u.get('lastLoginTime') or '')[:16].replace('T', ' ').replace('1970-01-01 00:00', ''),
+        }
+
+    def search_users(self, query):
+        try:
+            resp = self._directory_api().users().list(
+                customer='my_customer', query=query.strip(), maxResults=15, orderBy='email').execute()
+        except Exception as e:
+            sys.stderr.write(f"2FA zoeken: {e}\n")
+            return []
+        return [{'email': u['primaryEmail'], 'naam': (u.get('name') or {}).get('fullName', ''),
+                 'ou': u.get('orgUnitPath', '')} for u in resp.get('users', [])]
+
+    # ---------------- back-upcodes ----------------
+    def list_codes(self, email):
+        try:
+            resp = self._security_api().verificationCodes().list(userKey=email).execute()
+        except Exception as e:
+            raise TweestapsError(self._friendly(e, SECURITY_SCOPE))
+        return [i['verificationCode'] for i in resp.get('items', []) if i.get('verificationCode')]
+
+    def generate_codes(self, email):
+        """Maakt een nieuwe set (de oude set wordt daardoor ongeldig) en geeft de codes terug."""
+        try:
+            self._security_api().verificationCodes().generate(userKey=email).execute()
+        except Exception as e:
+            raise TweestapsError(self._friendly(e, SECURITY_SCOPE))
+        return self.list_codes(email)
+
+    def invalidate_codes(self, email):
+        try:
+            self._security_api().verificationCodes().invalidate(userKey=email).execute()
+        except Exception as e:
+            raise TweestapsError(self._friendly(e, SECURITY_SCOPE))
+
+    # ---------------- uitzonderingsgroep ----------------
+    def _add_to_group(self, email):
+        if not self.exception_group:
+            raise TweestapsError("Er is nog geen uitzonderingsgroep ingesteld "
+                                 "(🔌 Koppelingen van deze school › 🛡️ 2FA-hulp › Uitzonderingsgroep).")
+        try:
+            self._group_api().members().insert(
+                groupKey=self.exception_group, body={'email': email, 'role': 'MEMBER'}).execute()
+        except HttpError as e:
+            if getattr(e.resp, 'status', None) == 409:      # zit er al in → prima
+                return
+            raise TweestapsError(self._friendly(e, GROUP_MEMBER_SCOPE))
+        except Exception as e:
+            raise TweestapsError(self._friendly(e, GROUP_MEMBER_SCOPE))
+
+    def _remove_from_group(self, email):
+        try:
+            self._group_api().members().delete(groupKey=self.exception_group, memberKey=email).execute()
+        except HttpError as e:
+            if getattr(e.resp, 'status', None) == 404:      # zit er al niet meer in → prima
+                return
+            raise TweestapsError(self._friendly(e, GROUP_MEMBER_SCOPE))
+        except Exception as e:
+            raise TweestapsError(self._friendly(e, GROUP_MEMBER_SCOPE))
+
+    # ---------------- database ----------------
+    @staticmethod
+    def ensure_tables():
+        execute_query("""
+            CREATE TABLE IF NOT EXISTS tweestaps_uitzonderingen (
+                ID             INT AUTO_INCREMENT PRIMARY KEY,
+                Email          VARCHAR(255) NOT NULL,
+                Naam           VARCHAR(255) NULL,
+                Reden          VARCHAR(255) NULL,
+                Van            DATETIME     NOT NULL,
+                Tot            DATETIME     NOT NULL,
+                Door           VARCHAR(100) NULL,
+                Actief         TINYINT(1)   NOT NULL DEFAULT 1,
+                Beeindigd_op   DATETIME     NULL,
+                Beeindigd_door VARCHAR(100) NULL,
+                INDEX idx_actief (Actief, Tot),
+                INDEX idx_email (Email)
+            )""", commit=True)
+        execute_query("""
+            CREATE TABLE IF NOT EXISTS tweestaps_log (
+                ID        INT AUTO_INCREMENT PRIMARY KEY,
+                Tijdstip  DATETIME     NOT NULL,
+                Door      VARCHAR(100) NULL,
+                Actie     VARCHAR(40)  NOT NULL,
+                Email     VARCHAR(255) NOT NULL,
+                Details   VARCHAR(255) NULL,
+                INDEX idx_tijdstip (Tijdstip)
+            )""", commit=True)
+        execute_query("""
+            CREATE TABLE IF NOT EXISTS tweestaps_resets (
+                ID           INT AUTO_INCREMENT PRIMARY KEY,
+                Email        VARCHAR(255) NOT NULL,
+                Gevraagd_op  DATETIME     NOT NULL,
+                Door         VARCHAR(100) NULL,
+                Reden        VARCHAR(255) NULL,
+                Tot          DATETIME     NOT NULL,
+                Status       VARCHAR(10)  NOT NULL DEFAULT 'bezig',
+                Pogingen     INT          NOT NULL DEFAULT 0,
+                Laatste_fout VARCHAR(255) NULL,
+                Klaar_op     DATETIME     NULL,
+                INDEX idx_status (Status),
+                INDEX idx_email (Email)
+            )""", commit=True)
+
+    @staticmethod
+    def log(door, actie, email, details=None):
+        try:
+            execute_query("INSERT INTO tweestaps_log (Tijdstip, Door, Actie, Email, Details) VALUES (NOW(), %s, %s, %s, %s)",
+                          (door, actie, email, details), commit=True)
+        except Exception as e:
+            sys.stderr.write(f"2FA log: {e}\n")
+
+    @staticmethod
+    def recent_log(pagina=1, per_pagina=10):
+        """Eén pagina van het logboek (nieuwste eerst). Geeft (rijen, totaal aantal)."""
+        totaal = execute_query("SELECT COUNT(*) AS n FROM tweestaps_log")[0]['n']
+        pagina = max(1, int(pagina or 1))
+        rijen = execute_query("SELECT Tijdstip, Door, Actie, Email, Details FROM tweestaps_log "
+                              "ORDER BY Tijdstip DESC, ID DESC LIMIT %s OFFSET %s",
+                              (int(per_pagina), (pagina - 1) * int(per_pagina)))
+        return rijen, totaal
+
+    @staticmethod
+    def active_exceptions():
+        return execute_query("SELECT ID, Email, Naam, Reden, Van, Tot, Door FROM tweestaps_uitzonderingen "
+                             "WHERE Actief = 1 ORDER BY Tot")
+
+    @staticmethod
+    def active_for(email):
+        rows = execute_query("SELECT ID, Tot FROM tweestaps_uitzonderingen WHERE Actief = 1 AND Email = %s "
+                             "ORDER BY Tot DESC LIMIT 1", (email,))
+        return rows[0] if rows else None
+
+    # ---------------- uitzonderingen ----------------
+    @staticmethod
+    def einde_vandaag(nu=None):
+        """Een uitzondering (of 2FA-reset) loopt altijd tot 23:59 dezelfde dag."""
+        return (nu or datetime.now()).replace(hour=23, minute=59, second=0, microsecond=0)
+
+    def grant_exception(self, email, eindtijd, door, reden=None):
+        user = self.get_user(email)
+        if user['geschorst']:
+            raise TweestapsError(f"{user['email']} is geschorst.")
+        bestaand = self.active_for(user['email'])
+        self._add_to_group(user['email'])
+        if bestaand:
+            execute_query("UPDATE tweestaps_uitzonderingen SET Tot = %s WHERE ID = %s",
+                          (eindtijd, bestaand['ID']), commit=True)
+        else:
+            execute_query(
+                "INSERT INTO tweestaps_uitzonderingen (Email, Naam, Reden, Van, Tot, Door, Actief) "
+                "VALUES (%s, %s, %s, NOW(), %s, %s, 1)",
+                (user['email'], user['naam'], (reden or '')[:255], eindtijd, door), commit=True)
+        self.log(door, 'uitzondering', user['email'], f"tot {eindtijd:%d-%m %H:%M}" + (f" – {reden}" if reden else ''))
+        self._lijst_cache = None
+        return user
+
+    def reset_2fa(self, email, eindtijd, door, reden=None):
+        """
+        2FA resetten (nieuwe telefoon, toestel kwijt): 2FA uitzetten voor de gebruiker zodat hij het opnieuw
+        kan instellen. Wordt 2FA afgedwongen, dan krijgt hij eerst een tijdelijke uitzondering; anders zou hij
+        na het uitzetten niet meer kunnen inloggen om 2FA opnieuw in te stellen.
+        Google: users.twoStepVerification.turnOff (scope admin.directory.user.security).
+        """
+        user = self.get_user(email)
+        if user['geschorst']:
+            raise TweestapsError(f"{user['email']} is geschorst.")
+        if not user['ingesteld']:
+            raise TweestapsError(f"{user['email']} heeft nog geen 2FA ingesteld; er valt niets te resetten. "
+                                 "Moet hij 2FA nog instellen maar kan hij niet inloggen, geef dan een tijdelijke uitzondering.")
+        uitzondering = False
+        if user['afgedwongen']:
+            if not self.exception_group:
+                raise TweestapsError("2FA wordt afgedwongen voor deze gebruiker. Stel eerst een uitzonderingsgroep in "
+                                     "(🔌 Koppelingen van deze school › 🛡️ 2FA-hulp), anders kan hij na de reset niet "
+                                     "meer inloggen om 2FA opnieuw in te stellen.")
+            self.grant_exception(user['email'], eindtijd, door, reden or '2FA-reset')
+            uitzondering = True
+        try:
+            self._turn_off(user['email'])
+        except Exception as e:
+            if uitzondering and _is_afgedwongen_fout(e):
+                # Google past de uitzonderingsgroep pas na enkele minuten toe → op de achtergrond opnieuw proberen.
+                self._plan_reset(user['email'], eindtijd, door, reden)
+                user['uitzondering'] = True
+                user['wacht'] = True
+                return user
+            raise TweestapsError(f"2FA uitzetten mislukt: {self._friendly(e, SECURITY_SCOPE)}"
+                                 + (" De tijdelijke uitzondering blijft lopen tot ze afloopt." if uitzondering else ""))
+        self._lijst_cache = None
+        self.log(door, '2FA gereset', user['email'], reden or None)
+        user['uitzondering'] = uitzondering
+        user['wacht'] = False
+        return user
+
+    def _turn_off(self, email):
+        self._security_api().twoStepVerification().turnOff(userKey=email).execute()
+
+    # ---------------- 2FA-reset die op Google wacht ----------------
+    def _plan_reset(self, email, tot, door, reden):
+        bestaand = self.reset_bezig(email)
+        if bestaand:
+            execute_query("UPDATE tweestaps_resets SET Tot = %s WHERE ID = %s", (tot, bestaand['ID']), commit=True)
+            rid = bestaand['ID']
+        else:
+            execute_query(
+                "INSERT INTO tweestaps_resets (Email, Gevraagd_op, Door, Reden, Tot, Status, Pogingen) "
+                "VALUES (%s, NOW(), %s, %s, %s, 'bezig', 1)", (email, door, (reden or '')[:255], tot), commit=True)
+            rid = execute_query("SELECT ID FROM tweestaps_resets WHERE Email = %s AND Status = 'bezig' "
+                                "ORDER BY ID DESC LIMIT 1", (email,))[0]['ID']
+        self.log(door, '2FA reset wacht', email, 'Google past de uitzondering nog toe; PIVOT probeert opnieuw')
+        self._volg_reset_op(rid)
+
+    @staticmethod
+    def reset_bezig(email=None):
+        if email:
+            rows = execute_query("SELECT * FROM tweestaps_resets WHERE Status = 'bezig' AND Email = %s "
+                                 "ORDER BY ID DESC LIMIT 1", ((email or '').strip().lower(),))
+            return rows[0] if rows else None
+        return execute_query("SELECT * FROM tweestaps_resets WHERE Status = 'bezig' ORDER BY Gevraagd_op")
+
+    def probeer_reset(self, rij):
+        """Eén poging voor een wachtende reset. Geeft 'klaar', 'mislukt' of 'bezig' terug."""
+        email = rij['Email']
+        try:
+            self._turn_off(email)
+        except Exception as e:
+            nog_tijd = rij['Tot'] > datetime.now()
+            tijdelijk = _is_afgedwongen_fout(e) or _is_netwerkfout(e)
+            if _is_netwerkfout(e):
+                self._clients.security = None      # verbinding kapot → volgende poging met een nieuwe client
+            if tijdelijk and nog_tijd:
+                execute_query("UPDATE tweestaps_resets SET Pogingen = Pogingen + 1, Laatste_fout = %s WHERE ID = %s",
+                              (self._friendly(e)[:255], rij['ID']), commit=True)
+                return 'bezig'
+            fout = (self._friendly(e, SECURITY_SCOPE) if nog_tijd else
+                    "Google heeft de uitzondering niet toegepast voor ze afliep. Controleer of 'Afdwingen' op 'Uit' "
+                    "staat voor de uitzonderingsgroep in admin.google.com en probeer opnieuw.")
+            execute_query("UPDATE tweestaps_resets SET Status = 'mislukt', Pogingen = Pogingen + 1, Laatste_fout = %s, "
+                          "Klaar_op = NOW() WHERE ID = %s", (fout[:255], rij['ID']), commit=True)
+            self.log('automatisch', '2FA reset mislukt', email, fout[:255])
+            return 'mislukt'
+        execute_query("UPDATE tweestaps_resets SET Status = 'klaar', Pogingen = Pogingen + 1, Laatste_fout = NULL, "
+                      "Klaar_op = NOW() WHERE ID = %s", (rij['ID'],), commit=True)
+        self.log(rij['Door'] or 'automatisch', '2FA gereset', email,
+                 (rij['Reden'] or '') + f" (na {rij['Pogingen'] + 1} pogingen)")
+        self._lijst_cache = None
+        return 'klaar'
+
+    def verwerk_resets(self):
+        """Alle wachtende resets van deze school één keer proberen (vangnet van de 5-minutenplanner)."""
+        n = 0
+        for rij in self.reset_bezig():
+            if self.probeer_reset(rij) == 'klaar':
+                n += 1
+        return n
+
+    def _volg_reset_op(self, rid):
+        from tenancy import met_school
+        svc = self
+
+        def loop():
+            while True:
+                time.sleep(RESET_INTERVAL)
+                try:
+                    rows = execute_query("SELECT * FROM tweestaps_resets WHERE ID = %s", (rid,))
+                    if not rows or rows[0]['Status'] != 'bezig':
+                        return
+                    if svc.probeer_reset(rows[0]) != 'bezig':
+                        return
+                except Exception as e:
+                    sys.stderr.write(f"2FA-reset {rid}: {e}\n")
+        threading.Thread(target=met_school(loop), daemon=True).start()
+
+    def end_exception(self, uitz_id, door):
+        rows = execute_query("SELECT Email FROM tweestaps_uitzonderingen WHERE ID = %s AND Actief = 1", (uitz_id,))
+        if not rows:
+            raise TweestapsError("Deze uitzondering is al beëindigd.")
+        email = rows[0]['Email']
+        self._remove_from_group(email)
+        execute_query("UPDATE tweestaps_uitzonderingen SET Actief = 0, Beeindigd_op = NOW(), Beeindigd_door = %s "
+                      "WHERE ID = %s", (door, uitz_id), commit=True)
+        self.log(door, 'uitzondering beëindigd', email)
+        self._lijst_cache = None
+        return email
+
+    def expire_due(self):
+        """Haalt iedereen met een verlopen uitzondering terug uit de groep. Geeft het aantal terug."""
+        if not self._lock.acquire(blocking=False):
+            return 0
+        try:
+            rows = execute_query("SELECT ID, Email FROM tweestaps_uitzonderingen WHERE Actief = 1 AND Tot <= NOW()")
+            klaar = 0
+            for r in rows:
+                try:
+                    self._remove_from_group(r['Email'])
+                    execute_query("UPDATE tweestaps_uitzonderingen SET Actief = 0, Beeindigd_op = NOW(), "
+                                  "Beeindigd_door = 'automatisch' WHERE ID = %s", (r['ID'],), commit=True)
+                    self.log('automatisch', 'uitzondering verlopen', r['Email'])
+                    klaar += 1
+                except Exception as e:
+                    # blijft actief → volgende ronde opnieuw proberen
+                    sys.stderr.write(f"2FA: kon {r['Email']} niet uit de groep halen: {e}\n")
+            if klaar:
+                self._lijst_cache = None
+            return klaar
+        finally:
+            self._lock.release()
+
+    @classmethod
+    def start_scheduler(cls):
+        """Ruimt elke 5 minuten verlopen uitzonderingen op, voor elke school met een Google-sleutel."""
+        if TweestapsService._scheduler:
+            return
+
+        def loop():
+            time.sleep(20)
+            while True:
+                for school in alle_scholen():
+                    if not school.google_sleutel:
+                        continue
+                    try:
+                        with in_school(school):
+                            svc = cls()
+                            svc.ensure_tables()
+                            svc.verwerk_resets()
+                            n = svc.expire_due()
+                        if n:
+                            print(f"[{school.code}] 2FA: {n} verlopen uitzondering(en) opgeruimd.", flush=True)
+                    except Exception as e:
+                        sys.stderr.write(f"[{school.code}] 2FA scheduler: {e}\n")
+                time.sleep(CHECK_INTERVAL)
+
+        TweestapsService._scheduler = threading.Thread(target=loop, daemon=True)
+        TweestapsService._scheduler.start()
+
+    # ---------------- wie heeft 2FA nog niet ingesteld ----------------
+    def niet_ingesteld(self, force=False):
+        if not force and self._lijst_cache and time.time() - self._lijst_cache[0] < LIJST_CACHE:
+            return self._lijst_cache[1]
+        result = []
+        ous = [o.strip() for o in Config.TWEESTAPS_OUS.split(',') if o.strip()]
+        self.ontbrekende_ous = []
+        for ou in ous:
+            token = None
+            while True:
+                try:
+                    resp = self._directory_api().users().list(
+                        customer='my_customer', query=f"orgUnitPath='{ou}' isSuspended=false",
+                        maxResults=500, pageToken=token, projection='basic',
+                        fields='nextPageToken,users(primaryEmail,name/fullName,orgUnitPath,isEnrolledIn2Sv,'
+                               'isEnforcedIn2Sv,archived,lastLoginTime,creationTime)').execute()
+                except Exception as e:
+                    if 'INVALID_OU_ID' in str(e):
+                        self.ontbrekende_ous.append(ou)    # deze OU bestaat niet in Google: overslaan
+                        break
+                    raise
+                for u in resp.get('users', []):
+                    if u.get('archived') or u.get('isEnrolledIn2Sv'):
+                        continue
+                    result.append({
+                        'email': u['primaryEmail'].lower(),
+                        'naam': (u.get('name') or {}).get('fullName', ''),
+                        'ou': u.get('orgUnitPath', ''),
+                        'afgedwongen': bool(u.get('isEnforcedIn2Sv')),
+                        'laatste_login': (u.get('lastLoginTime') or '')[:10].replace('1970-01-01', ''),
+                        'aangemaakt': (u.get('creationTime') or '')[:10],
+                    })
+                token = resp.get('nextPageToken')
+                if not token:
+                    break
+        if ous and len(self.ontbrekende_ous) == len(ous):
+            raise TweestapsError(self.ou_melding())
+        uniek = {r['email']: r for r in result}
+        lijst = sorted(uniek.values(), key=lambda r: (r['ou'], r['naam']))
+        self._lijst_cache = (time.time(), lijst)
+        return lijst
diff --git a/services/verzendlijsten_service.py b/services/verzendlijsten_service.py
new file mode 100644
index 0000000..670fc31
--- /dev/null
+++ b/services/verzendlijsten_service.py
@@ -0,0 +1,173 @@
+"""
+Verzendlijsten (Google Groepen) van de huidige school beheren via de Admin SDK.
+
+Directory API  (scope admin.directory.group)      → groepen en leden: bekijken, aanmaken, aanpassen
+Groups Settings API (scope apps.groups.settings)  → "wie mag e-mails sturen naar de lijst" (optioneel: ontbreekt de
+                                                     scope, dan werkt de rest gewoon en wordt dit veld verborgen)
+Beide scopes moeten in Google Admin › Beveiliging › API-beheer › Domeinbrede delegatie bij het serviceaccount staan.
+"""
+import re
+import threading
+
+from googleapiclient.discovery import build
+
+from config import Config
+from tenancy import google_credentials, school_singleton
+
+GROUP_SCOPE = 'https://www.googleapis.com/auth/admin.directory.group'
+SETTINGS_SCOPE = 'https://www.googleapis.com/auth/apps.groups.settings'
+
+ROLLEN = [('MEMBER', 'Lid'), ('MANAGER', 'Beheerder'), ('OWNER', 'Eigenaar')]
+WIE_MAILT = [
+    ('ANYONE_CAN_POST', 'Iedereen, ook van buiten de school'),
+    ('ALL_IN_DOMAIN_CAN_POST', 'Iedereen van de school'),
+    ('ALL_MEMBERS_CAN_POST', 'Enkel leden van de lijst'),
+    ('ALL_MANAGERS_CAN_POST', 'Enkel beheerders en eigenaars'),
+]
+EMAIL_RE = re.compile(r'^[^@\s]+@[^@\s]+\.[^@\s]+$')
+
+
+class VerzendlijstFout(Exception):
+    pass
+
+
+def _uitleg(e):
+    """Google-fout → begrijpelijke melding."""
+    t = str(e)
+    laag = t.lower()
+    if 'unauthorized_client' in laag or 'insufficient authentication scopes' in laag or 'access_denied' in laag:
+        return ("Google weigert de toegang tot de groepen. Voeg in Google Admin › Beveiliging › API-beheer › "
+                f"Domeinbrede delegatie bij het serviceaccount de scope {GROUP_SCOPE} toe "
+                f"(en voor 'wie mag mailen' ook {SETTINGS_SCOPE}). Een wijziging kan enkele minuten duren.")
+    if 'entity already exists' in laag or 'duplicate' in laag or 'member already exists' in laag:
+        return "Dat adres bestaat al (als groep, gebruiker of lid)."
+    if 'resource not found' in laag or 'notfound' in laag.replace(' ', ''):
+        return "Niet gevonden in Google (bestaat het adres of de groep wel?)."
+    if 'domain' in laag and ('not found' in laag or 'invalid' in laag):
+        return "Dat domein hoort niet bij jullie Google Workspace."
+    m = re.search(r'"message":\s*"([^"]+)"', t) or re.search(r'returned "([^"]+)"', t)
+    return f"Google: {m.group(1) if m else t[:300]}"
+
+
+def adressen(tekst):
+    """Komma-, puntkomma-, spatie- of regelgescheiden lijst → [geldige adressen], [ongeldige stukken]."""
+    goed, fout = [], []
+    for d in re.split(r'[\s,;]+', str(tekst or '')):
+        d = d.strip().strip('<>').lower()
+        if not d:
+            continue
+        (goed if EMAIL_RE.match(d) else fout).append(d)
+    return list(dict.fromkeys(goed)), fout
+
+
+class VerzendlijstenService:
+    def __new__(cls):
+        def init(inst):
+            inst._clients = threading.local()       # Google-clients zijn niet thread-safe: één per thread
+        return school_singleton(cls, init)
+
+    def _api(self, naam, scope, api, versie):
+        client = getattr(self._clients, naam, None)
+        if client is None:
+            creds = google_credentials([scope], subject=Config.GOOGLE_ADMIN_EMAIL)
+            client = build(api, versie, credentials=creds, static_discovery=False, cache_discovery=False)
+            setattr(self._clients, naam, client)
+        return client
+
+    def _dir(self):
+        return self._api('directory', GROUP_SCOPE, 'admin', 'directory_v1')
+
+    def _settings(self):
+        return self._api('settings', SETTINGS_SCOPE, 'groupssettings', 'v1')
+
+    def _uitvoeren(self, verzoek):
+        try:
+            return verzoek.execute()
+        except Exception as e:
+            raise VerzendlijstFout(_uitleg(e))
+
+    # ---------------- groepen ----------------
+    def alle(self):
+        uit, token = [], None
+        while True:
+            res = self._uitvoeren(self._dir().groups().list(customer='my_customer', maxResults=200, pageToken=token,
+                                                            orderBy='email'))
+            for g in res.get('groups', []):
+                uit.append({'email': g.get('email', ''), 'naam': g.get('name', ''),
+                            'beschrijving': g.get('description', ''),
+                            'leden': int(g.get('directMembersCount') or 0), 'aliassen': g.get('aliases', [])})
+            token = res.get('nextPageToken')
+            if not token:
+                return uit
+
+    def groep(self, email):
+        g = self._uitvoeren(self._dir().groups().get(groupKey=email))
+        return {'email': g.get('email', ''), 'naam': g.get('name', ''), 'beschrijving': g.get('description', ''),
+                'leden': int(g.get('directMembersCount') or 0), 'aliassen': g.get('aliases', [])}
+
+    def aanmaken(self, email, naam, beschrijving=''):
+        email = (email or '').strip().lower()
+        if not EMAIL_RE.match(email):
+            raise VerzendlijstFout("Geef een geldig e-mailadres voor de verzendlijst.")
+        if not (naam or '').strip():
+            raise VerzendlijstFout("Geef de verzendlijst een naam.")
+        self._uitvoeren(self._dir().groups().insert(body={'email': email, 'name': naam.strip(),
+                                                          'description': (beschrijving or '').strip()}))
+        return email
+
+    def bijwerken(self, email, naam, beschrijving):
+        if not (naam or '').strip():
+            raise VerzendlijstFout("De naam mag niet leeg zijn.")
+        self._uitvoeren(self._dir().groups().patch(groupKey=email, body={
+            'name': naam.strip(), 'description': (beschrijving or '').strip()}))
+
+    # ---------------- wie mag mailen (Groups Settings API) ----------------
+    def wie_mailt(self, email):
+        """Huidige instelling, of None als de Groups Settings-scope (nog) ontbreekt."""
+        try:
+            s = self._settings().groups().get(groupUniqueId=email, alt='json').execute()
+            return s.get('whoCanPostMessage')
+        except Exception:
+            return None
+
+    def zet_wie_mailt(self, email, waarde):
+        if waarde not in dict(WIE_MAILT):
+            raise VerzendlijstFout("Onbekende keuze voor 'wie mag mailen'.")
+        body = {'whoCanPostMessage': waarde}
+        if waarde == 'ANYONE_CAN_POST':
+            body['allowExternalMembers'] = 'false'          # extern mailen mag, extern lid worden niet automatisch
+        self._uitvoeren(self._settings().groups().patch(groupUniqueId=email, body=body))
+
+    # ---------------- leden ----------------
+    def leden(self, email):
+        uit, token = [], None
+        while True:
+            res = self._uitvoeren(self._dir().members().list(groupKey=email, maxResults=200, pageToken=token))
+            for m in res.get('members', []):
+                uit.append({'email': m.get('email', ''), 'rol': m.get('role', 'MEMBER'),
+                            'soort': m.get('type', 'USER'), 'status': m.get('status', '')})
+            token = res.get('nextPageToken')
+            if not token:
+                volgorde = {'OWNER': 0, 'MANAGER': 1, 'MEMBER': 2}
+                return sorted(uit, key=lambda m: (volgorde.get(m['rol'], 3), m['email']))
+
+    def leden_toevoegen(self, email, lijst, rol='MEMBER'):
+        """Geeft (toegevoegd, [(adres, fout)])."""
+        if rol not in dict(ROLLEN):
+            rol = 'MEMBER'
+        gelukt, fouten = 0, []
+        for adres in lijst:
+            try:
+                self._uitvoeren(self._dir().members().insert(groupKey=email, body={'email': adres, 'role': rol}))
+                gelukt += 1
+            except VerzendlijstFout as e:
+                fouten.append((adres, str(e)))
+        return gelukt, fouten
+
+    def lid_rol(self, email, lid, rol):
+        if rol not in dict(ROLLEN):
+            raise VerzendlijstFout("Onbekende rol.")
+        self._uitvoeren(self._dir().members().patch(groupKey=email, memberKey=lid, body={'role': rol}))
+
+    def lid_verwijderen(self, email, lid):
+        self._uitvoeren(self._dir().members().delete(groupKey=email, memberKey=lid))
diff --git a/sql/centraal.sql b/sql/centraal.sql
new file mode 100644
index 0000000..14e7706
--- /dev/null
+++ b/sql/centraal.sql
@@ -0,0 +1,314 @@
+-- =====================================================================
+-- PIVOT 1.1.0 – CENTRALE database (structuur schooljaar 2026-27)
+--
+-- Bevat wat voor ALLE scholen geldt:
+--   Scholen            de scholen (+ hun koppelingen, versleuteld)
+--   Gebruikers         één account per persoon, voor alle scholen
+--   Veiligheidsgroepen 1 = Administrator, 2 = Gebruiker
+--   Onderdelen         de onderdelen van PIVOT waarop je rechten kan geven
+--   Gebruiker_rechten  wie mag welk onderdeel, in welke school
+--   Logs               bezochte pagina's en acties
+--   Bugs, Status       gemelde bugs
+--
+-- De naam van deze database staat in config.ini › [database] › centrale_database.
+-- Dit bestand is gegenereerd uit tenancy.py en rechten.py; PIVOT maakt
+-- dezelfde tabellen ook zelf aan bij het opstarten (python beheer.py init).
+-- =====================================================================
+
+-- USE `pivot`;
+
+-- Veiligheidscontrole: stop als deze database nog OUDE tabellen met dezelfde naam bevat
+-- (bv. 'scholen' van PIVOT 1.1.0). MySQL op Windows maakt geen onderscheid tussen
+-- hoofdletters en kleine letters, dus 'Scholen' en 'scholen' zijn dezelfde tabel.
+DROP PROCEDURE IF EXISTS pivot_controle_oude_tabellen;
+DELIMITER //
+CREATE PROCEDURE pivot_controle_oude_tabellen()
+BEGIN
+    DECLARE oud TEXT;
+    SELECT GROUP_CONCAT(n.tabel SEPARATOR ', ') INTO oud
+    FROM (SELECT 'scholen' AS tabel, 'school_id' AS kolom UNION ALL
+          SELECT 'gebruikers', 'gebruiker_id' UNION ALL SELECT 'logs', 'log_id' UNION ALL
+          SELECT 'status', 'bugstatus_id' UNION ALL SELECT 'bugs', 'bug_id') n
+    WHERE EXISTS (SELECT 1 FROM information_schema.TABLES t
+                  WHERE t.TABLE_SCHEMA = DATABASE() AND LOWER(t.TABLE_NAME) = n.tabel)
+      AND NOT EXISTS (SELECT 1 FROM information_schema.COLUMNS c
+                      WHERE c.TABLE_SCHEMA = DATABASE() AND LOWER(c.TABLE_NAME) = n.tabel
+                        AND LOWER(c.COLUMN_NAME) = n.kolom);
+    IF oud IS NOT NULL THEN
+        SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT =
+            'STOP: deze database bevat nog oude PIVOT-tabellen (scholen/gebruikers/logs/status/bugs). Kies een nieuwe, lege database.';
+    END IF;
+END //
+DELIMITER ;
+CALL pivot_controle_oude_tabellen();
+DROP PROCEDURE pivot_controle_oude_tabellen;
+
+CREATE TABLE IF NOT EXISTS Scholen (
+    School_ID                INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Code                     VARCHAR(32)  NOT NULL,
+    School_naam              VARCHAR(255) NOT NULL,
+    Smartschool_platform_url VARCHAR(255) NULL,
+    Adres                    VARCHAR(255) NULL,
+    Instellingsnummer        VARCHAR(20)  NULL,
+    Informat_instellingsnummer VARCHAR(500) NULL,
+    Onderwijsniveau          VARCHAR(20)  NULL,
+    Domein                   VARCHAR(500) NOT NULL DEFAULT '',
+    Hostnamen                VARCHAR(500) NOT NULL DEFAULT '',
+    Actief                   TINYINT      NOT NULL DEFAULT 1,
+    Db_naam                  VARCHAR(128) NOT NULL,
+    Instellingen             MEDIUMTEXT   NULL,
+    Google_sleutel           MEDIUMTEXT   NULL,
+    Leerlingenaantal         INT          NULL,
+    Leerlingenaantal_sync    DATETIME     NULL,
+    Leerlingenaantal_detail  TEXT         NULL,
+    Bijgewerkt               DATETIME(6)  NULL,
+    Bijgewerkt_door          VARCHAR(255) NULL,
+    UNIQUE KEY uq_scholen_code (Code)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Veiligheidsgroepen (
+    Veiligheidsgroep TINYINT      NOT NULL PRIMARY KEY,
+    Naam             VARCHAR(50)  NOT NULL,
+    Omschrijving     VARCHAR(255) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Gebruikers (
+    Gebruiker_ID     INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Gebruikersnaam   VARCHAR(100) NOT NULL,
+    Veiligheidsgroep TINYINT      NOT NULL DEFAULT 2,
+    Passwoordhash    VARCHAR(255) NULL,
+    Emailadres       VARCHAR(255) NULL,
+    Last_login       DATETIME     NULL,
+    IP_laatste_login VARCHAR(45)  NULL,
+    Laatste_school   VARCHAR(32)  NULL,
+    Actief           TINYINT      NOT NULL DEFAULT 1,
+    UNIQUE KEY uq_gebruikersnaam (Gebruikersnaam),
+    UNIQUE KEY uq_emailadres (Emailadres),
+    CONSTRAINT fk_gebruikers_groep FOREIGN KEY (Veiligheidsgroep)
+        REFERENCES Veiligheidsgroepen (Veiligheidsgroep)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Onderdelen (
+    Onderdeel_ID INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Code         VARCHAR(50)  NOT NULL,
+    Naam         VARCHAR(255) NOT NULL,
+    Categorie    VARCHAR(50)  NOT NULL,
+    Volgorde     INT          NOT NULL DEFAULT 0,
+    UNIQUE KEY uq_onderdeel_code (Code)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Gebruiker_rechten (
+    Gebruiker_ID   INT          NOT NULL,
+    School_ID      INT          NOT NULL,
+    Onderdeel_ID   INT          NOT NULL,
+    Toegekend_op   DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    Toegekend_door VARCHAR(100) NULL,
+    PRIMARY KEY (Gebruiker_ID, School_ID, Onderdeel_ID),
+    KEY idx_rechten_school (School_ID),
+    KEY idx_rechten_onderdeel (Onderdeel_ID),
+    CONSTRAINT fk_rechten_gebruiker FOREIGN KEY (Gebruiker_ID)
+        REFERENCES Gebruikers (Gebruiker_ID) ON DELETE CASCADE,
+    CONSTRAINT fk_rechten_school FOREIGN KEY (School_ID)
+        REFERENCES Scholen (School_ID) ON DELETE CASCADE,
+    CONSTRAINT fk_rechten_onderdeel FOREIGN KEY (Onderdeel_ID)
+        REFERENCES Onderdelen (Onderdeel_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Handleidingen (
+    Handleiding_ID INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Slug           VARCHAR(100) NOT NULL,
+    Titel          VARCHAR(200) NOT NULL,
+    Categorie      VARCHAR(100) NULL,
+    Samenvatting   VARCHAR(300) NULL,
+    Inhoud         MEDIUMTEXT   NULL,
+    Zichtbaar      VARCHAR(10)  NOT NULL DEFAULT 'iedereen',
+    Volgorde       INT          NOT NULL DEFAULT 0,
+    Gewijzigd_op   DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    Gewijzigd_door VARCHAR(100) NULL,
+    UNIQUE KEY uq_handleiding_slug (Slug)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Handleidingen_versies (
+    Versie_ID      INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Handleiding_ID INT          NOT NULL,
+    Titel          VARCHAR(200) NOT NULL,
+    Inhoud         MEDIUMTEXT   NULL,
+    Opgeslagen_op  DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    Door           VARCHAR(100) NULL,
+    KEY idx_versie_handleiding (Handleiding_ID, Opgeslagen_op),
+    CONSTRAINT fk_versie_handleiding FOREIGN KEY (Handleiding_ID)
+        REFERENCES Handleidingen (Handleiding_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Leerlingenaantal_tellingen (
+    Telling_ID    INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    School_ID     INT          NOT NULL,
+    Peildatum     DATE         NOT NULL,
+    Schooljaar    VARCHAR(10)  NOT NULL,
+    Aantal        INT          NOT NULL,
+    Detail        TEXT         NULL,
+    Opgevraagd_op DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    Door          VARCHAR(100) NULL,
+    UNIQUE KEY uq_telling (School_ID, Peildatum),
+    KEY idx_telling_datum (Peildatum),
+    CONSTRAINT fk_telling_school FOREIGN KEY (School_ID)
+        REFERENCES Scholen (School_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Personeelsaantal_tellingen (
+    Telling_ID    INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    School_ID     INT          NOT NULL,
+    Peildatum     DATE         NOT NULL,
+    Schooljaar    VARCHAR(10)  NOT NULL,
+    Aantal        INT          NOT NULL,
+    Detail        TEXT         NULL,
+    Opgevraagd_op DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    Door          VARCHAR(100) NULL,
+    UNIQUE KEY uq_ptelling (School_ID, Peildatum),
+    KEY idx_ptelling_datum (Peildatum),
+    CONSTRAINT fk_ptelling_school FOREIGN KEY (School_ID)
+        REFERENCES Scholen (School_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Personeelsaantal_huidig (
+    School_ID        INT       NOT NULL PRIMARY KEY,
+    Aantal           INT       NOT NULL,
+    Detail           TEXT      NULL,
+    Gesynchroniseerd DATETIME  NOT NULL,
+    CONSTRAINT fk_phuidig_school FOREIGN KEY (School_ID)
+        REFERENCES Scholen (School_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS PIVOT_instellingen (
+    Sleutel     VARCHAR(50)  NOT NULL PRIMARY KEY,
+    Waarde      VARCHAR(255) NULL,
+    Bijgewerkt  DATETIME     NULL,
+    Door        VARCHAR(100) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS IP_blokkades (
+    ID               INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Reeks            VARCHAR(64)  NOT NULL,
+    Soort            VARCHAR(10)  NOT NULL DEFAULT 'blokkeren',
+    Opmerking        VARCHAR(255) NULL,
+    Scholen          VARCHAR(1000) NULL,
+    Aangemaakt       DATETIME     NOT NULL,
+    Door             VARCHAR(100) NULL,
+    Gebruiker_ID     INT          NULL,
+    Aantal_geweigerd INT          NOT NULL DEFAULT 0,
+    Laatst_geweigerd DATETIME     NULL,
+    UNIQUE KEY uq_ip_reeks (Reeks, Soort)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS GoPro_verzameltabel (
+    ID                INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    School_code       VARCHAR(32)  NOT NULL,
+    School_naam       VARCHAR(255) NULL,
+    Person_ID         VARCHAR(64)  NOT NULL,
+    Voornaam          VARCHAR(100) NULL,
+    Achternaam        VARCHAR(100) NULL,
+    Email             VARCHAR(255) NULL,
+    UPN               VARCHAR(255) NULL,
+    Instellingsnummer VARCHAR(20)  NULL,
+    Functie           VARCHAR(100) NULL,
+    Rol               VARCHAR(100) NULL,
+    Startdatum        DATE         NULL,
+    Einddatum         DATE         NULL,
+    Telefoon          VARCHAR(50)  NULL,
+    Toegevoegd        DATETIME     NOT NULL,
+    Door              VARCHAR(255) NULL,
+    Soort             VARCHAR(10)  NOT NULL DEFAULT 'groen',   -- groen = in de CSV, genegeerd = rode lijst, verzonden = al naar GO! Pro
+    Verzonden         DATETIME     NULL,
+    Verzonden_door    VARCHAR(255) NULL,
+    UNIQUE KEY uq_gopro_verz (School_code, Person_ID),
+    KEY idx_gopro_verz_email (Email)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Koppeling_tests (
+    School_ID   INT          NOT NULL,
+    Onderdeel   VARCHAR(50)  NOT NULL,
+    Ok          TINYINT      NULL,
+    Detail      VARCHAR(500) NULL,
+    Getest_op   DATETIME     NOT NULL,
+    PRIMARY KEY (School_ID, Onderdeel),
+    CONSTRAINT fk_ktest_school FOREIGN KEY (School_ID) REFERENCES Scholen (School_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Logs (
+    Log_ID       BIGINT        NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Timestamp    DATETIME      NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    Bezochte_url VARCHAR(2048) NOT NULL,
+    Gebruiker_ID INT           NULL,
+    School_ID    INT           NULL,
+    Actie        VARCHAR(255)  NULL,
+    IP           VARCHAR(45)   NULL,
+    KEY idx_logs_tijd (Timestamp),
+    KEY idx_logs_gebruiker (Gebruiker_ID),
+    CONSTRAINT fk_logs_gebruiker FOREIGN KEY (Gebruiker_ID)
+        REFERENCES Gebruikers (Gebruiker_ID) ON DELETE SET NULL,
+    CONSTRAINT fk_logs_school FOREIGN KEY (School_ID)
+        REFERENCES Scholen (School_ID) ON DELETE SET NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Status (
+    Bugstatus_ID TINYINT     NOT NULL PRIMARY KEY,
+    Omschrijving VARCHAR(50) NOT NULL,
+    UNIQUE KEY uq_status_omschrijving (Omschrijving)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Bugs (
+    Bug_ID         INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Timestamp      DATETIME     NOT NULL,
+    Omschrijving   TEXT         NOT NULL,
+    Foutcode       VARCHAR(100) NULL,
+    Bugstatus_ID   TINYINT      NOT NULL DEFAULT 1,
+    Gebruiker_ID   INT          NULL,
+    Gebruikersnaam VARCHAR(255) NULL,
+    School_ID      INT          NULL,
+    Gemeld_op      DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    KEY idx_bugs_status (Bugstatus_ID),
+    CONSTRAINT fk_bugs_status FOREIGN KEY (Bugstatus_ID) REFERENCES Status (Bugstatus_ID),
+    CONSTRAINT fk_bugs_gebruiker FOREIGN KEY (Gebruiker_ID)
+        REFERENCES Gebruikers (Gebruiker_ID) ON DELETE SET NULL,
+    CONSTRAINT fk_bugs_school FOREIGN KEY (School_ID)
+        REFERENCES Scholen (School_ID) ON DELETE SET NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+INSERT IGNORE INTO Veiligheidsgroepen (Veiligheidsgroep, Naam, Omschrijving) VALUES
+    (1, 'Administrator', 'Alle rechten in alle scholen; beheert gebruikers, rechten en scholen'),
+    (2, 'Gebruiker', 'Enkel de rechten die per school zijn aangevinkt');
+
+INSERT IGNORE INTO Onderdelen (Code, Naam, Categorie, Volgorde) VALUES
+    ('eigendom_bekijken', 'Eigendom bekijken', 'Chromebooks', 10),
+    ('toestellen_uitdelen', 'Toestellen uitdelen en inleveren', 'Chromebooks', 20),
+    ('toestellen_beheren', 'Toestelleninventaris beheren', 'Chromebooks', 30),
+    ('toestel_blokkeren', 'Chromebook blokkeren / deblokkeren', 'Chromebooks', 40),
+    ('herstellingen', 'Herstellingen', 'Chromebooks', 50),
+    ('signpost', 'Signpost-toestellen', 'Chromebooks', 60),
+    ('leerlingen_bekijken', 'Leerlingen bekijken en bewerken', 'Leerlingen', 70),
+    ('leerlingen_synchroniseren', 'Leerlingen toevoegen en synchroniseren', 'Leerlingen', 80),
+    ('google_wachtwoord', 'Google-wachtwoord resetten', 'Google', 90),
+    ('google_accounts', 'Google-accounts aanmaken', 'Google', 100),
+    ('tweestaps_codes', '2FA: back-upcodes tonen / aanmaken', 'Google', 110),
+    ('tweestaps_uitzetten', '2FA tijdelijk uitzetten (uitzondering)', 'Google', 120),
+    ('google_licenties', 'Google-licenties', 'Google', 130),
+    ('gmail_delegatie', 'Mailbox-delegatie', 'Google', 140),
+    ('smartschool', 'Smartschool-wachtwoorden & info', 'Smartschool', 150),
+    ('smartschool_activiteit', 'Activiteit co-accounts & berichten', 'Smartschool', 160),
+    ('afwezigheden', 'Afwezigheden leerlingen (B-codes)', 'Smartschool', 170),
+    ('skore', 'Skore-synchronisatie (starten en plannen)', 'Smartschool', 180),
+    ('personeel_directie', 'Personeel: aanvragen goedkeuren (directie)', 'Personeel', 190),
+    ('personeel_secretariaat', 'Personeel: dagoverzicht (secretariaat)', 'Personeel', 200),
+    ('qr_codes', 'QR-code generator', 'Tools', 210),
+    ('co2', 'CO2-sensoren', 'IoT', 220),
+    ('leerlingenaantal', 'Leerlingenaantallen (alle scholen)', 'Scholengroep', 230),
+    ('bugs_bekijken', 'Bugs bekijken', 'Beheer', 240),
+    ('bugs_beheren', 'Status van bugs wijzigen', 'Beheer', 250),
+    ('nieuw_schooljaar', 'Nieuw schooljaar (accounts & toestellen)', 'Beheer', 260),
+    ('gebruikersbeheer', 'Gebruikers & rechten van deze school', 'PIVOT', 270),
+    ('koppelingen', 'Koppelingen van deze school', 'PIVOT', 280);
+
+INSERT IGNORE INTO Status (Bugstatus_ID, Omschrijving) VALUES
+    (1, 'Nieuw'),
+    (2, 'In behandeling'),
+    (3, 'Fixed');
diff --git a/sql/installatie_pivot_26-27.sql b/sql/installatie_pivot_26-27.sql
new file mode 100644
index 0000000..3aebeea
--- /dev/null
+++ b/sql/installatie_pivot_26-27.sql
@@ -0,0 +1,805 @@
+-- =====================================================================
+-- PIVOT 1.1.0 – VOLLEDIGE INSTALLATIE (schooljaar 2026-27)
+--
+-- Maakt in één keer aan:
+--   1. de centrale database  `pivot`               (Scholen, Gebruikers, rechten, Logs, Bugs)
+--   2. de school 'Scholengroep Antwerpen'           (code: sg-antwerpen)
+--   3. de gebruiker Marijn (Administrator)          wachtwoord: Binnenin10
+--   4. de database van die school `pivot_sg_antwerpen` (Toestellen, Leerlingen, ...)
+--
+-- Uitvoeren met:   mysql -u <gebruiker> -p < installatie_pivot_26-27.sql
+-- (of in MySQL Workbench / phpMyAdmin: dit bestand importeren)
+--
+-- ANDERE NAAM VOOR DE CENTRALE DATABASE (bv. pivot_test)?
+--   Vervang `pivot` op BEIDE regels onder "1. Centrale database"
+--   (CREATE DATABASE én USE) en zet dezelfde naam in config.ini
+--   › [database] › centrale_database.
+-- Het script stopt met een duidelijke melding als de gekozen database nog
+-- oude tabellen bevat (bv. 'scholen' van de vorige versie).
+-- =====================================================================
+
+SET NAMES utf8mb4;
+
+-- ---------------------------------------------------------------------
+-- 1. Centrale database
+-- ---------------------------------------------------------------------
+CREATE DATABASE IF NOT EXISTS `pivot` CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;
+USE `pivot`;
+
+-- Veiligheidscontrole: stop als deze database nog OUDE tabellen met dezelfde naam bevat
+-- (bv. 'scholen' van PIVOT 1.1.0). MySQL op Windows maakt geen onderscheid tussen
+-- hoofdletters en kleine letters, dus 'Scholen' en 'scholen' zijn dezelfde tabel.
+DROP PROCEDURE IF EXISTS pivot_controle_oude_tabellen;
+DELIMITER //
+CREATE PROCEDURE pivot_controle_oude_tabellen()
+BEGIN
+    DECLARE oud TEXT;
+    SELECT GROUP_CONCAT(n.tabel SEPARATOR ', ') INTO oud
+    FROM (SELECT 'scholen' AS tabel, 'school_id' AS kolom UNION ALL
+          SELECT 'gebruikers', 'gebruiker_id' UNION ALL SELECT 'logs', 'log_id' UNION ALL
+          SELECT 'status', 'bugstatus_id' UNION ALL SELECT 'bugs', 'bug_id') n
+    WHERE EXISTS (SELECT 1 FROM information_schema.TABLES t
+                  WHERE t.TABLE_SCHEMA = DATABASE() AND LOWER(t.TABLE_NAME) = n.tabel)
+      AND NOT EXISTS (SELECT 1 FROM information_schema.COLUMNS c
+                      WHERE c.TABLE_SCHEMA = DATABASE() AND LOWER(c.TABLE_NAME) = n.tabel
+                        AND LOWER(c.COLUMN_NAME) = n.kolom);
+    IF oud IS NOT NULL THEN
+        SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT =
+            'STOP: deze database bevat nog oude PIVOT-tabellen (scholen/gebruikers/logs/status/bugs). Kies een nieuwe, lege database.';
+    END IF;
+END //
+DELIMITER ;
+CALL pivot_controle_oude_tabellen();
+DROP PROCEDURE pivot_controle_oude_tabellen;
+
+CREATE TABLE IF NOT EXISTS Scholen (
+    School_ID                INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Code                     VARCHAR(32)  NOT NULL,
+    School_naam              VARCHAR(255) NOT NULL,
+    Smartschool_platform_url VARCHAR(255) NULL,
+    Adres                    VARCHAR(255) NULL,
+    Instellingsnummer        VARCHAR(20)  NULL,
+    Informat_instellingsnummer VARCHAR(500) NULL,
+    Onderwijsniveau          VARCHAR(20)  NULL,
+    Domein                   VARCHAR(500) NOT NULL DEFAULT '',
+    Hostnamen                VARCHAR(500) NOT NULL DEFAULT '',
+    Actief                   TINYINT      NOT NULL DEFAULT 1,
+    Db_naam                  VARCHAR(128) NOT NULL,
+    Instellingen             MEDIUMTEXT   NULL,
+    Google_sleutel           MEDIUMTEXT   NULL,
+    Leerlingenaantal         INT          NULL,
+    Leerlingenaantal_sync    DATETIME     NULL,
+    Leerlingenaantal_detail  TEXT         NULL,
+    Bijgewerkt               DATETIME(6)  NULL,
+    Bijgewerkt_door          VARCHAR(255) NULL,
+    UNIQUE KEY uq_scholen_code (Code)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Veiligheidsgroepen (
+    Veiligheidsgroep TINYINT      NOT NULL PRIMARY KEY,
+    Naam             VARCHAR(50)  NOT NULL,
+    Omschrijving     VARCHAR(255) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Gebruikers (
+    Gebruiker_ID     INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Gebruikersnaam   VARCHAR(100) NOT NULL,
+    Veiligheidsgroep TINYINT      NOT NULL DEFAULT 2,
+    Passwoordhash    VARCHAR(255) NULL,
+    Emailadres       VARCHAR(255) NULL,
+    Last_login       DATETIME     NULL,
+    IP_laatste_login VARCHAR(45)  NULL,
+    Laatste_school   VARCHAR(32)  NULL,
+    Actief           TINYINT      NOT NULL DEFAULT 1,
+    UNIQUE KEY uq_gebruikersnaam (Gebruikersnaam),
+    UNIQUE KEY uq_emailadres (Emailadres),
+    CONSTRAINT fk_gebruikers_groep FOREIGN KEY (Veiligheidsgroep)
+        REFERENCES Veiligheidsgroepen (Veiligheidsgroep)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Onderdelen (
+    Onderdeel_ID INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Code         VARCHAR(50)  NOT NULL,
+    Naam         VARCHAR(255) NOT NULL,
+    Categorie    VARCHAR(50)  NOT NULL,
+    Volgorde     INT          NOT NULL DEFAULT 0,
+    UNIQUE KEY uq_onderdeel_code (Code)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Gebruiker_rechten (
+    Gebruiker_ID   INT          NOT NULL,
+    School_ID      INT          NOT NULL,
+    Onderdeel_ID   INT          NOT NULL,
+    Toegekend_op   DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    Toegekend_door VARCHAR(100) NULL,
+    PRIMARY KEY (Gebruiker_ID, School_ID, Onderdeel_ID),
+    KEY idx_rechten_school (School_ID),
+    KEY idx_rechten_onderdeel (Onderdeel_ID),
+    CONSTRAINT fk_rechten_gebruiker FOREIGN KEY (Gebruiker_ID)
+        REFERENCES Gebruikers (Gebruiker_ID) ON DELETE CASCADE,
+    CONSTRAINT fk_rechten_school FOREIGN KEY (School_ID)
+        REFERENCES Scholen (School_ID) ON DELETE CASCADE,
+    CONSTRAINT fk_rechten_onderdeel FOREIGN KEY (Onderdeel_ID)
+        REFERENCES Onderdelen (Onderdeel_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Handleidingen (
+    Handleiding_ID INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Slug           VARCHAR(100) NOT NULL,
+    Titel          VARCHAR(200) NOT NULL,
+    Categorie      VARCHAR(100) NULL,
+    Samenvatting   VARCHAR(300) NULL,
+    Inhoud         MEDIUMTEXT   NULL,
+    Zichtbaar      VARCHAR(10)  NOT NULL DEFAULT 'iedereen',
+    Volgorde       INT          NOT NULL DEFAULT 0,
+    Gewijzigd_op   DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    Gewijzigd_door VARCHAR(100) NULL,
+    UNIQUE KEY uq_handleiding_slug (Slug)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Handleidingen_versies (
+    Versie_ID      INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Handleiding_ID INT          NOT NULL,
+    Titel          VARCHAR(200) NOT NULL,
+    Inhoud         MEDIUMTEXT   NULL,
+    Opgeslagen_op  DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    Door           VARCHAR(100) NULL,
+    KEY idx_versie_handleiding (Handleiding_ID, Opgeslagen_op),
+    CONSTRAINT fk_versie_handleiding FOREIGN KEY (Handleiding_ID)
+        REFERENCES Handleidingen (Handleiding_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Leerlingenaantal_tellingen (
+    Telling_ID    INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    School_ID     INT          NOT NULL,
+    Peildatum     DATE         NOT NULL,
+    Schooljaar    VARCHAR(10)  NOT NULL,
+    Aantal        INT          NOT NULL,
+    Detail        TEXT         NULL,
+    Opgevraagd_op DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    Door          VARCHAR(100) NULL,
+    UNIQUE KEY uq_telling (School_ID, Peildatum),
+    KEY idx_telling_datum (Peildatum),
+    CONSTRAINT fk_telling_school FOREIGN KEY (School_ID)
+        REFERENCES Scholen (School_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Personeelsaantal_tellingen (
+    Telling_ID    INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    School_ID     INT          NOT NULL,
+    Peildatum     DATE         NOT NULL,
+    Schooljaar    VARCHAR(10)  NOT NULL,
+    Aantal        INT          NOT NULL,
+    Detail        TEXT         NULL,
+    Opgevraagd_op DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    Door          VARCHAR(100) NULL,
+    UNIQUE KEY uq_ptelling (School_ID, Peildatum),
+    KEY idx_ptelling_datum (Peildatum),
+    CONSTRAINT fk_ptelling_school FOREIGN KEY (School_ID)
+        REFERENCES Scholen (School_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Personeelsaantal_huidig (
+    School_ID        INT       NOT NULL PRIMARY KEY,
+    Aantal           INT       NOT NULL,
+    Detail           TEXT      NULL,
+    Gesynchroniseerd DATETIME  NOT NULL,
+    CONSTRAINT fk_phuidig_school FOREIGN KEY (School_ID)
+        REFERENCES Scholen (School_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS PIVOT_instellingen (
+    Sleutel     VARCHAR(50)  NOT NULL PRIMARY KEY,
+    Waarde      VARCHAR(255) NULL,
+    Bijgewerkt  DATETIME     NULL,
+    Door        VARCHAR(100) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS IP_blokkades (
+    ID               INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Reeks            VARCHAR(64)  NOT NULL,
+    Soort            VARCHAR(10)  NOT NULL DEFAULT 'blokkeren',
+    Opmerking        VARCHAR(255) NULL,
+    Scholen          VARCHAR(1000) NULL,
+    Aangemaakt       DATETIME     NOT NULL,
+    Door             VARCHAR(100) NULL,
+    Gebruiker_ID     INT          NULL,
+    Aantal_geweigerd INT          NOT NULL DEFAULT 0,
+    Laatst_geweigerd DATETIME     NULL,
+    UNIQUE KEY uq_ip_reeks (Reeks, Soort)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS GoPro_verzameltabel (
+    ID                INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    School_code       VARCHAR(32)  NOT NULL,
+    School_naam       VARCHAR(255) NULL,
+    Person_ID         VARCHAR(64)  NOT NULL,
+    Voornaam          VARCHAR(100) NULL,
+    Achternaam        VARCHAR(100) NULL,
+    Email             VARCHAR(255) NULL,
+    UPN               VARCHAR(255) NULL,
+    Instellingsnummer VARCHAR(20)  NULL,
+    Functie           VARCHAR(100) NULL,
+    Rol               VARCHAR(100) NULL,
+    Startdatum        DATE         NULL,
+    Einddatum         DATE         NULL,
+    Telefoon          VARCHAR(50)  NULL,
+    Toegevoegd        DATETIME     NOT NULL,
+    Door              VARCHAR(255) NULL,
+    Soort             VARCHAR(10)  NOT NULL DEFAULT 'groen',   -- groen = in de CSV, genegeerd = rode lijst, verzonden = al naar GO! Pro
+    Verzonden         DATETIME     NULL,
+    Verzonden_door    VARCHAR(255) NULL,
+    UNIQUE KEY uq_gopro_verz (School_code, Person_ID),
+    KEY idx_gopro_verz_email (Email)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Koppeling_tests (
+    School_ID   INT          NOT NULL,
+    Onderdeel   VARCHAR(50)  NOT NULL,
+    Ok          TINYINT      NULL,
+    Detail      VARCHAR(500) NULL,
+    Getest_op   DATETIME     NOT NULL,
+    PRIMARY KEY (School_ID, Onderdeel),
+    CONSTRAINT fk_ktest_school FOREIGN KEY (School_ID) REFERENCES Scholen (School_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Logs (
+    Log_ID       BIGINT        NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Timestamp    DATETIME      NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    Bezochte_url VARCHAR(2048) NOT NULL,
+    Gebruiker_ID INT           NULL,
+    School_ID    INT           NULL,
+    Actie        VARCHAR(255)  NULL,
+    IP           VARCHAR(45)   NULL,
+    KEY idx_logs_tijd (Timestamp),
+    KEY idx_logs_gebruiker (Gebruiker_ID),
+    CONSTRAINT fk_logs_gebruiker FOREIGN KEY (Gebruiker_ID)
+        REFERENCES Gebruikers (Gebruiker_ID) ON DELETE SET NULL,
+    CONSTRAINT fk_logs_school FOREIGN KEY (School_ID)
+        REFERENCES Scholen (School_ID) ON DELETE SET NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Status (
+    Bugstatus_ID TINYINT     NOT NULL PRIMARY KEY,
+    Omschrijving VARCHAR(50) NOT NULL,
+    UNIQUE KEY uq_status_omschrijving (Omschrijving)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Bugs (
+    Bug_ID         INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Timestamp      DATETIME     NOT NULL,
+    Omschrijving   TEXT         NOT NULL,
+    Foutcode       VARCHAR(100) NULL,
+    Bugstatus_ID   TINYINT      NOT NULL DEFAULT 1,
+    Gebruiker_ID   INT          NULL,
+    Gebruikersnaam VARCHAR(255) NULL,
+    School_ID      INT          NULL,
+    Gemeld_op      DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    KEY idx_bugs_status (Bugstatus_ID),
+    CONSTRAINT fk_bugs_status FOREIGN KEY (Bugstatus_ID) REFERENCES Status (Bugstatus_ID),
+    CONSTRAINT fk_bugs_gebruiker FOREIGN KEY (Gebruiker_ID)
+        REFERENCES Gebruikers (Gebruiker_ID) ON DELETE SET NULL,
+    CONSTRAINT fk_bugs_school FOREIGN KEY (School_ID)
+        REFERENCES Scholen (School_ID) ON DELETE SET NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+INSERT IGNORE INTO Veiligheidsgroepen (Veiligheidsgroep, Naam, Omschrijving) VALUES
+    (1, 'Administrator', 'Alle rechten in alle scholen; beheert gebruikers, rechten en scholen'),
+    (2, 'Gebruiker', 'Enkel de rechten die per school zijn aangevinkt');
+
+INSERT IGNORE INTO Onderdelen (Code, Naam, Categorie, Volgorde) VALUES
+    ('eigendom_bekijken', 'Eigendom bekijken', 'Chromebooks', 10),
+    ('toestellen_uitdelen', 'Toestellen uitdelen en inleveren', 'Chromebooks', 20),
+    ('toestellen_beheren', 'Toestelleninventaris beheren', 'Chromebooks', 30),
+    ('toestel_blokkeren', 'Chromebook blokkeren / deblokkeren', 'Chromebooks', 40),
+    ('herstellingen', 'Herstellingen', 'Chromebooks', 50),
+    ('signpost', 'Signpost-toestellen', 'Chromebooks', 60),
+    ('leerlingen_bekijken', 'Leerlingen bekijken en bewerken', 'Leerlingen', 70),
+    ('leerlingen_synchroniseren', 'Leerlingen toevoegen en synchroniseren', 'Leerlingen', 80),
+    ('google_wachtwoord', 'Google-wachtwoord resetten', 'Google', 90),
+    ('google_accounts', 'Google-accounts aanmaken', 'Google', 100),
+    ('tweestaps_codes', '2FA: back-upcodes tonen / aanmaken', 'Google', 110),
+    ('tweestaps_uitzetten', '2FA tijdelijk uitzetten (uitzondering)', 'Google', 120),
+    ('google_licenties', 'Google-licenties', 'Google', 130),
+    ('gmail_delegatie', 'Mailbox-delegatie', 'Google', 140),
+    ('smartschool', 'Smartschool-wachtwoorden & info', 'Smartschool', 150),
+    ('smartschool_activiteit', 'Activiteit co-accounts & berichten', 'Smartschool', 160),
+    ('afwezigheden', 'Afwezigheden leerlingen (B-codes)', 'Smartschool', 170),
+    ('skore', 'Skore-synchronisatie (starten en plannen)', 'Smartschool', 180),
+    ('personeel_directie', 'Personeel: aanvragen goedkeuren (directie)', 'Personeel', 190),
+    ('personeel_secretariaat', 'Personeel: dagoverzicht (secretariaat)', 'Personeel', 200),
+    ('qr_codes', 'QR-code generator', 'Tools', 210),
+    ('co2', 'CO2-sensoren', 'IoT', 220),
+    ('leerlingenaantal', 'Leerlingenaantallen (alle scholen)', 'Scholengroep', 230),
+    ('bugs_bekijken', 'Bugs bekijken', 'Beheer', 240),
+    ('bugs_beheren', 'Status van bugs wijzigen', 'Beheer', 250),
+    ('nieuw_schooljaar', 'Nieuw schooljaar (accounts & toestellen)', 'Beheer', 260),
+    ('gebruikersbeheer', 'Gebruikers & rechten van deze school', 'PIVOT', 270),
+    ('koppelingen', 'Koppelingen van deze school', 'PIVOT', 280);
+
+INSERT IGNORE INTO Status (Bugstatus_ID, Omschrijving) VALUES
+    (1, 'Nieuw'),
+    (2, 'In behandeling'),
+    (3, 'Fixed');
+
+-- ---------------------------------------------------------------------
+-- 2. School: Scholengroep Antwerpen
+--    Domein, Smartschool, Informat, Google, ... vul je daarna in via
+--    PIVOT › 🏫 Alle scholen beheren › Bewerken.
+-- ---------------------------------------------------------------------
+INSERT INTO Scholen (Code, School_naam, Domein, Hostnamen, Actief, Db_naam, Instellingen, Bijgewerkt, Bijgewerkt_door)
+VALUES ('sg-antwerpen', 'Scholengroep Antwerpen', '', '', 1, 'pivot_sg_antwerpen', '{}', NOW(6), 'installatie')
+ON DUPLICATE KEY UPDATE School_naam = 'Scholengroep Antwerpen';
+
+-- ---------------------------------------------------------------------
+-- 3. Gebruiker Marijn – Administrator (alle rechten in alle scholen)
+--    Wachtwoord 'Binnenin10' (enkel als hash bewaard; wijzigen kan in PIVOT
+--    › Gebruikers & rechten).
+-- ---------------------------------------------------------------------
+INSERT INTO Gebruikers (Gebruikersnaam, Veiligheidsgroep, Passwoordhash, Emailadres, Actief)
+VALUES ('Marijn', 1, 'scrypt:32768:8:1$FuAWb0nan2iFSInz$18994a1f3faf96e071b0cf1bded9a32daaf481c3cd92583e08d87c6e88b018be41d4aca7369108ae01ddb2f6523ab00817f60a12b41b2d255f91ad64857e4856', NULL, 1)
+ON DUPLICATE KEY UPDATE Veiligheidsgroep = 1, Passwoordhash = 'scrypt:32768:8:1$FuAWb0nan2iFSInz$18994a1f3faf96e071b0cf1bded9a32daaf481c3cd92583e08d87c6e88b018be41d4aca7369108ae01ddb2f6523ab00817f60a12b41b2d255f91ad64857e4856', Actief = 1;
+
+-- Een administrator heeft automatisch alle rechten in elke school; deze rijen
+-- maken dat ook zichtbaar in het overzicht (en blijven gelden als hij ooit
+-- gewone gebruiker wordt).
+INSERT IGNORE INTO Gebruiker_rechten (Gebruiker_ID, School_ID, Onderdeel_ID, Toegekend_door)
+SELECT g.Gebruiker_ID, s.School_ID, o.Onderdeel_ID, 'installatie'
+FROM Gebruikers g CROSS JOIN Scholen s CROSS JOIN Onderdelen o
+WHERE g.Gebruikersnaam = 'Marijn' AND s.Code = 'sg-antwerpen';
+
+-- ---------------------------------------------------------------------
+-- 4. Database van Scholengroep Antwerpen
+-- ---------------------------------------------------------------------
+CREATE DATABASE IF NOT EXISTS `pivot_sg_antwerpen` CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;
+USE `pivot_sg_antwerpen`;
+
+-- =====================================================================
+-- PIVOT 1.1.0 – database van ÉÉN school (structuur schooljaar 2026-27)
+--
+-- Elke school in PIVOT heeft een eigen database met deze tabellen.
+-- Gebruik:  USE <database_van_de_school>;  SOURCE school.sql;
+-- of:       python beheer.py nieuwe-schooldatabase <database>
+--
+-- Tabellen uit de PDF: Campus, Lokalen, Wifi, Toestellen, Signpost_DB,
+-- Opmerkingen, Signpost_herstellingen_DB, Leerlingen, Eigendom,
+-- Co_accounts, CO2_Metingen.
+-- Aanvullingen die PIVOT nodig heeft staan gemarkeerd met  -- [+]
+-- (Scholen, Gebruikers, Logs, Bugs en Status staan in de centrale database.)
+-- =====================================================================
+
+-- ---------------------------------------------------------------------
+-- Schooljaren  [+]  (Leerlingen.Schooljaar_ID = beginjaar, bv. 2026 → '2026-27')
+-- ---------------------------------------------------------------------
+CREATE TABLE IF NOT EXISTS Schooljaar (
+    Schooljaar_ID SMALLINT    NOT NULL PRIMARY KEY,
+    Schooljaar    VARCHAR(9)  NOT NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+INSERT IGNORE INTO Schooljaar (Schooljaar_ID, Schooljaar) VALUES
+    (2022, '2022-23'), (2023, '2023-24'), (2024, '2024-25'), (2025, '2025-26'),
+    (2026, '2026-27'), (2027, '2027-28'), (2028, '2028-29'), (2029, '2029-30'),
+    (2030, '2030-31'), (2031, '2031-32'), (2032, '2032-33'), (2033, '2033-34'),
+    (2034, '2034-35'), (2035, '2035-36');
+
+-- ---------------------------------------------------------------------
+-- Campus → Lokalen
+-- School_ID verwijst naar Scholen.School_ID in de CENTRALE database.
+-- (Geen harde foreign key: een schooldatabase kan op een andere server staan.)
+-- ---------------------------------------------------------------------
+CREATE TABLE IF NOT EXISTS Campus (
+    Campus_ID   INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    School_ID   INT          NOT NULL,
+    Campus_naam VARCHAR(255) NOT NULL,
+    Adres       VARCHAR(255) NULL,
+    KEY idx_campus_school (School_ID)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Lokalen (
+    Lokaal_ID  INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Naam       VARCHAR(100) NOT NULL,
+    Campus_ID  INT          NULL,          -- leeg = nog niet aan een campus gekoppeld (bv. nieuw CO2-lokaal)
+    Verdieping VARCHAR(20)  NULL,
+    KEY idx_lokalen_naam (Naam),
+    CONSTRAINT fk_lokalen_campus FOREIGN KEY (Campus_ID)
+        REFERENCES Campus (Campus_ID) ON DELETE SET NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Wifi (
+    Wifi_ID      INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Campus_ID    INT          NULL,                  -- [+] op welke campus dit netwerk hoort
+    Naam_Netwerk VARCHAR(100) NOT NULL,
+    Wifi_ww      VARCHAR(255) NULL,
+    CONSTRAINT fk_wifi_campus FOREIGN KEY (Campus_ID)
+        REFERENCES Campus (Campus_ID) ON DELETE SET NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- ---------------------------------------------------------------------
+-- Toestellen
+-- Schooleigen_ID = het eigen toestelnummer van de school (vroeger KAMXM_nummer).
+-- ---------------------------------------------------------------------
+CREATE TABLE IF NOT EXISTS Toestellen (
+    Toestel_ID     INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Schooleigen_ID VARCHAR(50)  NULL,
+    Serienummer    VARCHAR(100) NULL,                -- [+] nodig om het toestel in Google te (de)blokkeren
+    Type           VARCHAR(100) NULL,                -- [+] model
+    Status         VARCHAR(20)  NOT NULL DEFAULT 'Beschikbaar',   -- [+] Beschikbaar / Uitgeleend / Defect
+    Geblokkeerd    TINYINT(1)   NOT NULL DEFAULT 0,   -- [+] 1 = geblokkeerd in Google Admin
+    Afschrijfdatum DATE         NULL,
+    Lokaal_ID      INT          NULL,
+    UNIQUE KEY uq_toestellen_schooleigen (Schooleigen_ID),
+    KEY idx_toestellen_serienummer (Serienummer),
+    KEY idx_toestellen_status (Status),
+    CONSTRAINT fk_toestellen_lokaal FOREIGN KEY (Lokaal_ID)
+        REFERENCES Lokalen (Lokaal_ID) ON DELETE SET NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- Gegevens van Signpost (1 rij per toestel dat via Signpost aangekocht is)
+CREATE TABLE IF NOT EXISTS Signpost_DB (
+    Toestel_ID     INT           NOT NULL PRIMARY KEY,
+    Signpostnummer VARCHAR(50)   NULL,
+    Aankoopbedrag  DECIMAL(10,2) NULL,
+    Aankoopdatum   DATE          NULL,
+    Garantie       DATE          NULL,
+    UNIQUE KEY uq_signpost_nummer (Signpostnummer),
+    CONSTRAINT fk_signpost_toestel FOREIGN KEY (Toestel_ID)
+        REFERENCES Toestellen (Toestel_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Opmerkingen (
+    Opmerking_ID INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Toestel_ID   INT          NOT NULL,
+    Opmerking    TEXT         NOT NULL,
+    Timestamp    DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    Gebruiker    VARCHAR(255) NULL,                  -- [+] wie de opmerking schreef
+    KEY idx_opmerkingen_toestel (Toestel_ID, Timestamp),
+    CONSTRAINT fk_opmerkingen_toestel FOREIGN KEY (Toestel_ID)
+        REFERENCES Toestellen (Toestel_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- ---------------------------------------------------------------------
+-- Leerlingen
+-- ---------------------------------------------------------------------
+CREATE TABLE IF NOT EXISTS Leerlingen (
+    Leerling_ID    INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Internnummer   VARCHAR(32)  NOT NULL,
+    Gebruikersnaam VARCHAR(100) NULL,
+    Naam           VARCHAR(100) NULL,
+    Voornaam       VARCHAR(100) NULL,
+    SS_nummer      VARCHAR(255) NULL,
+    Google_adres   VARCHAR(255) NULL,
+    Schooljaar_ID  SMALLINT     NULL,                -- [+] zie tabel Schooljaar
+    Vertrokken_op  DATE         NULL,                -- niet meer actief in Informat sinds (NULL = actief)
+    UNIQUE KEY uq_leerlingen_internnummer (Internnummer),
+    KEY idx_leerlingen_gebruikersnaam (Gebruikersnaam)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Co_accounts (
+    Co_account_ID          INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Internnummer           VARCHAR(32)  NOT NULL,
+    Naam                   VARCHAR(100) NULL,
+    Voornaam               VARCHAR(100) NULL,
+    Laatste_aanmelding     DATETIME     NULL,
+    Emailadres_co_accounts VARCHAR(255) NULL,
+    KEY idx_coaccounts_intern (Internnummer),
+    CONSTRAINT fk_coaccounts_leerling FOREIGN KEY (Internnummer)
+        REFERENCES Leerlingen (Internnummer) ON DELETE CASCADE ON UPDATE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- ---------------------------------------------------------------------
+-- Eigendom: welk toestel heeft welke leerling (ook de geschiedenis).
+-- Datum_inlevering leeg = de leerling heeft het toestel nu.
+-- (Vervangt de vroegere tabel Eigendom_archief.)
+-- ---------------------------------------------------------------------
+CREATE TABLE IF NOT EXISTS Eigendom (
+    Eigendom_ID      INT         NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Internnummer     VARCHAR(32) NOT NULL,
+    Toestel_ID       INT         NOT NULL,
+    Status           TINYINT     NOT NULL DEFAULT 0,  -- 0 = actief, 1 = geblokkeerd in Google
+    Datum_toekenning DATE        NOT NULL,
+    Datum_inlevering DATE        NULL,
+    KEY idx_eigendom_leerling (Internnummer, Datum_inlevering),
+    KEY idx_eigendom_toestel (Toestel_ID, Datum_inlevering),
+    CONSTRAINT fk_eigendom_leerling FOREIGN KEY (Internnummer)
+        REFERENCES Leerlingen (Internnummer) ON UPDATE CASCADE,
+    CONSTRAINT fk_eigendom_toestel FOREIGN KEY (Toestel_ID)
+        REFERENCES Toestellen (Toestel_ID)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- ---------------------------------------------------------------------
+-- Herstellingen (via Signpost of intern)
+-- ---------------------------------------------------------------------
+CREATE TABLE IF NOT EXISTS Signpost_herstellingen_DB (
+    Incident_ID        INT           NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Toestel_ID         INT           NOT NULL,
+    Omschrijving       TEXT          NULL,
+    Kostprijs          DECIMAL(10,2) NULL,
+    Status_herstelling VARCHAR(30)   NOT NULL DEFAULT 'geregistreerd',
+    Datum              DATE          NULL,           -- [+] datum van de melding
+    Leerling_ID        INT           NULL,           -- [+] leerling die het toestel binnenbracht
+    KEY idx_herstellingen_toestel (Toestel_ID),
+    CONSTRAINT fk_herstellingen_toestel FOREIGN KEY (Toestel_ID)
+        REFERENCES Toestellen (Toestel_ID) ON DELETE CASCADE,
+    CONSTRAINT fk_herstellingen_leerling FOREIGN KEY (Leerling_ID)
+        REFERENCES Leerlingen (Leerling_ID) ON DELETE SET NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- ---------------------------------------------------------------------
+-- CO2-metingen per lokaal
+-- ---------------------------------------------------------------------
+CREATE TABLE IF NOT EXISTS CO2_Metingen (
+    Meting_ID BIGINT   NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Lokaal_ID INT      NOT NULL,
+    ppm       INT      NOT NULL,
+    Timestamp DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    KEY idx_co2_lokaal_tijd (Lokaal_ID, Timestamp),
+    KEY idx_co2_tijd (Timestamp),
+    CONSTRAINT fk_co2_lokaal FOREIGN KEY (Lokaal_ID)
+        REFERENCES Lokalen (Lokaal_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- =====================================================================
+-- [+] Tabellen van PIVOT-modules die niet in de PDF staan
+--     (PIVOT maakt ze ook zelf aan bij het eerste gebruik)
+-- =====================================================================
+CREATE TABLE IF NOT EXISTS smartschool_afwezigheden (
+    Datum        DATE        NOT NULL,
+    Internnummer VARCHAR(32) NOT NULL,
+    Dagdeel      CHAR(2)     NOT NULL,
+    Code         VARCHAR(8)  NOT NULL,
+    PRIMARY KEY (Datum, Internnummer, Dagdeel),
+    INDEX idx_intern (Internnummer),
+    INDEX idx_code (Code)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS smartschool_afwezigheden_sync (
+    Datum     DATE     NOT NULL PRIMARY KEY,
+    Opgehaald DATETIME NOT NULL,
+    Aantal    INT      NOT NULL DEFAULT 0
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS tweestaps_uitzonderingen (
+    ID             INT AUTO_INCREMENT PRIMARY KEY,
+    Email          VARCHAR(255) NOT NULL,
+    Naam           VARCHAR(255) NULL,
+    Reden          VARCHAR(255) NULL,
+    Van            DATETIME     NOT NULL,
+    Tot            DATETIME     NOT NULL,
+    Door           VARCHAR(100) NULL,
+    Actief         TINYINT      NOT NULL DEFAULT 1,
+    Beeindigd_op   DATETIME     NULL,
+    Beeindigd_door VARCHAR(100) NULL,
+    INDEX idx_actief (Actief, Tot),
+    INDEX idx_email (Email)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS tweestaps_log (
+    ID       INT AUTO_INCREMENT PRIMARY KEY,
+    Tijdstip DATETIME     NOT NULL,
+    Door     VARCHAR(100) NULL,
+    Actie    VARCHAR(40)  NOT NULL,
+    Email    VARCHAR(255) NOT NULL,
+    Details  VARCHAR(255) NULL,
+    INDEX idx_tijdstip (Tijdstip)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS gmail_delegatie_log (
+    ID           INT AUTO_INCREMENT PRIMARY KEY,
+    Tijdstip     DATETIME     NOT NULL,
+    Gebruiker    VARCHAR(100) NULL,
+    Actie        VARCHAR(20)  NOT NULL,
+    Mailbox      VARCHAR(255) NOT NULL,
+    Gedelegeerde VARCHAR(255) NOT NULL,
+    INDEX idx_mailbox (Mailbox),
+    INDEX idx_tijdstip (Tijdstip)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS gmail_delegaties (
+    Mailbox           VARCHAR(255) NOT NULL,
+    Mailbox_naam      VARCHAR(255) NULL,
+    Gedelegeerde      VARCHAR(255) NOT NULL,
+    Gedelegeerde_naam VARCHAR(255) NULL,
+    Status            VARCHAR(20)  NULL,
+    Opgehaald         DATETIME     NOT NULL,
+    PRIMARY KEY (Mailbox, Gedelegeerde),
+    KEY idx_gmail_deleg_gedelegeerde (Gedelegeerde)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS gmail_delegaties_scan (
+    ID        TINYINT  NOT NULL PRIMARY KEY,
+    Opgehaald DATETIME NULL,
+    Mailboxen INT      NULL,
+    Fouten    INT      NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS internaat_aanwezigheid (
+    Datum       DATE         NOT NULL,
+    Persoon_ID  VARCHAR(64)  NOT NULL,          -- pPersoon/persoonId uit de Internaat-API van Informat
+    Moment      VARCHAR(10)  NOT NULL,          -- ochtend | avond
+    Status      VARCHAR(10)  NOT NULL,          -- aanwezig | afwezig (geen rij = nog niet gecontroleerd)
+    Naam        VARCHAR(200) NULL,
+    Bijgewerkt  DATETIME     NOT NULL,
+    Door        VARCHAR(255) NULL,
+    PRIMARY KEY (Datum, Persoon_ID, Moment),
+    KEY idx_aanw_persoon (Persoon_ID)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS gmail_label_log (
+    ID        INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Gestart   DATETIME     NOT NULL,
+    Klaar     DATETIME     NULL,
+    Door      VARCHAR(255) NULL,
+    Bron      VARCHAR(255) NOT NULL,
+    Label     VARCHAR(255) NOT NULL,
+    Doel      VARCHAR(255) NOT NULL,
+    Modus     VARCHAR(12)  NOT NULL,              -- kopieren | verplaatsen
+    Totaal    INT          NULL,
+    Gelukt    INT          NULL,
+    Overgeslagen INT       NULL,
+    Fouten    INT          NULL,
+    Melding   VARCHAR(500) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS gmail_label_items (
+    Bron      VARCHAR(255) NOT NULL,
+    Bron_ID   VARCHAR(64)  NOT NULL,                -- Gmail-id in de bronmailbox
+    Doel      VARCHAR(255) NOT NULL,
+    Doel_ID   VARCHAR(64)  NULL,                    -- Gmail-id van de kopie in de doelmailbox
+    Gekopieerd DATETIME    NOT NULL,
+    PRIMARY KEY (Bron, Bron_ID, Doel)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- Gmail-handtekeningen: sjabloon, logo en gekozen OU's (één rij) en wanneer de handtekening per gebruiker gezet werd
+CREATE TABLE IF NOT EXISTS gmail_handtekening (
+    ID            TINYINT      NOT NULL PRIMARY KEY,
+    Sjabloon      MEDIUMTEXT   NULL,
+    OUs           TEXT         NULL,
+    Met_sub_ous   TINYINT      NOT NULL DEFAULT 1,
+    Logo          MEDIUMBLOB   NULL,
+    Logo_type     VARCHAR(40)  NULL,
+    Logo_sleutel  VARCHAR(40)  NULL,
+    Logo_url      VARCHAR(500) NULL,
+    Logo_breedte  INT          NOT NULL DEFAULT 120,
+    Publiek_adres VARCHAR(255) NULL,
+    Nachtelijk    TINYINT      NOT NULL DEFAULT 0,
+    Laatste_nacht DATE         NULL,
+    Nacht_resultaat VARCHAR(500) NULL,
+    Bijgewerkt    DATETIME     NULL,
+    Door          VARCHAR(255) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS gmail_handtekening_log (
+    Email      VARCHAR(255) NOT NULL PRIMARY KEY,
+    Toegepast  DATETIME     NOT NULL,
+    Ok         TINYINT      NOT NULL,
+    Melding    VARCHAR(500) NULL,
+    Hash       CHAR(40)     NULL,
+    Door       VARCHAR(255) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- Gmail › Contacten: contactlijsten die PIVOT in de mailboxen van de gekozen OU's zet
+CREATE TABLE IF NOT EXISTS contact_lijsten (
+    ID          INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Naam        VARCHAR(100) NOT NULL,              -- label in Google Contacten
+    OUs         TEXT         NULL,                  -- JSON-lijst van OU-paden
+    Met_sub_ous TINYINT      NOT NULL DEFAULT 1,
+    Bijgewerkt  DATETIME     NULL,
+    Door        VARCHAR(255) NULL,
+    Laatste_sync DATETIME    NULL,
+    Resultaat   VARCHAR(500) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS contact_lijst_items (
+    ID          INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Lijst_ID    INT          NOT NULL,
+    Voornaam    VARCHAR(100) NULL,
+    Achternaam  VARCHAR(100) NULL,
+    Organisatie VARCHAR(150) NULL,
+    Functie     VARCHAR(150) NULL,
+    Email       VARCHAR(255) NULL,
+    Telefoon    VARCHAR(60)  NULL,
+    Notitie     VARCHAR(500) NULL,
+    KEY idx_cli_lijst (Lijst_ID)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+
+
+CREATE TABLE IF NOT EXISTS google_licenties (
+    SKU_ID          VARCHAR(32)  NOT NULL PRIMARY KEY,
+    Naam            VARCHAR(128) NOT NULL,
+    Aangekocht      INT          NOT NULL DEFAULT 0,
+    Bijgewerkt      DATETIME     NULL,
+    Bijgewerkt_door VARCHAR(100) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS personeel_aanvragen (
+    ID              INT AUTO_INCREMENT PRIMARY KEY,
+    Soort           VARCHAR(20)   NOT NULL,
+    Status          VARCHAR(20)   NOT NULL,
+    Email           VARCHAR(255)  NOT NULL,
+    Naam            VARCHAR(255)  NULL,
+    Ingediend_door  VARCHAR(255)  NULL,
+    Titel           VARCHAR(255)  NOT NULL,
+    Omschrijving    TEXT          NULL,
+    Locatie         VARCHAR(255)  NULL,
+    Van_datum       DATE          NOT NULL,
+    Tot_datum       DATE          NOT NULL,
+    Dagdeel         VARCHAR(10)   NOT NULL DEFAULT 'dag',
+    Lesuren         VARCHAR(50)   NULL,
+    Klassen         TEXT          NULL,
+    Begeleiders     TEXT          NULL,
+    Kost            DECIMAL(10,2) NULL,
+    Vervanging_ok   TINYINT       NOT NULL DEFAULT 0,
+    Vervanging_info VARCHAR(255)  NULL,
+    Aangemaakt      DATETIME      NOT NULL,
+    Bijgewerkt      DATETIME      NOT NULL,
+    INDEX idx_status (Status),
+    INDEX idx_datum (Van_datum, Tot_datum),
+    INDEX idx_email (Email)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS personeel_reacties (
+    ID          INT AUTO_INCREMENT PRIMARY KEY,
+    Aanvraag_ID INT          NOT NULL,
+    Tijdstip    DATETIME     NOT NULL,
+    Email       VARCHAR(255) NULL,
+    Naam        VARCHAR(255) NULL,
+    Actie       VARCHAR(30)  NOT NULL,
+    Tekst       TEXT         NULL,
+    INDEX idx_aanvraag (Aanvraag_ID)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- Skore-synchronisatie (planning + logboek)
+CREATE TABLE IF NOT EXISTS skore_planning (
+    ID              TINYINT      NOT NULL PRIMARY KEY,
+    Frequentie      VARCHAR(20)  NOT NULL DEFAULT 'uit',
+    Uur             TINYINT      NOT NULL DEFAULT 6,
+    Minuut          TINYINT      NOT NULL DEFAULT 0,
+    Weekdag         TINYINT      NOT NULL DEFAULT 0,
+    Dag_van_maand   TINYINT      NOT NULL DEFAULT 1,
+    Laatst_gepland  DATETIME     NULL,
+    Bijgewerkt      DATETIME     NULL,
+    Bijgewerkt_door VARCHAR(255) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS skore_log (
+    ID         INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Gestart    DATETIME     NOT NULL,
+    Door       VARCHAR(255) NULL,
+    Manier     VARCHAR(20)  NOT NULL,
+    Service_ID VARCHAR(100) NULL,
+    Status     VARCHAR(30)  NOT NULL,
+    Melding    TEXT         NULL,
+    Bijgewerkt DATETIME     NULL,
+    INDEX idx_skore_gestart (Gestart)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+INSERT IGNORE INTO skore_planning (ID) VALUES (1);
+
+CREATE TABLE IF NOT EXISTS smartschool_coaccounts (
+    Internnummer      VARCHAR(32)  NOT NULL,
+    Nr                TINYINT      NOT NULL,
+    Gebruikersnaam    VARCHAR(100) NULL,
+    Leerling_naam     VARCHAR(100) NULL,
+    Leerling_voornaam VARCHAR(100) NULL,
+    Klas              VARCHAR(50)  NULL,
+    Voornaam          VARCHAR(100) NULL,
+    Naam              VARCHAR(100) NULL,
+    Type              VARCHAR(50)  NULL,
+    Email             VARCHAR(255) NULL,
+    Laatste_login     DATETIME     NULL,
+    Opgehaald         DATETIME     NOT NULL,
+    PRIMARY KEY (Internnummer, Nr),
+    KEY idx_coacc_klas (Klas)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+
+CREATE TABLE IF NOT EXISTS gopro_keuzes (
+    Person_ID   VARCHAR(64)  NOT NULL PRIMARY KEY,
+    Functie     VARCHAR(100) NULL,
+    Rol         VARCHAR(100) NULL,
+    Bijgewerkt  DATETIME     NOT NULL,
+    Door        VARCHAR(255) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+
diff --git a/sql/school.sql b/sql/school.sql
new file mode 100644
index 0000000..cf4b6d0
--- /dev/null
+++ b/sql/school.sql
@@ -0,0 +1,448 @@
+-- =====================================================================
+-- PIVOT 1.1.0 – database van ÉÉN school (structuur schooljaar 2026-27)
+--
+-- Elke school in PIVOT heeft een eigen database met deze tabellen.
+-- Gebruik:  USE <database_van_de_school>;  SOURCE school.sql;
+-- of:       python beheer.py nieuwe-schooldatabase <database>
+--
+-- Tabellen uit de PDF: Campus, Lokalen, Wifi, Toestellen, Signpost_DB,
+-- Opmerkingen, Signpost_herstellingen_DB, Leerlingen, Eigendom,
+-- Co_accounts, CO2_Metingen.
+-- Aanvullingen die PIVOT nodig heeft staan gemarkeerd met  -- [+]
+-- (Scholen, Gebruikers, Logs, Bugs en Status staan in de centrale database.)
+-- =====================================================================
+
+-- ---------------------------------------------------------------------
+-- Schooljaren  [+]  (Leerlingen.Schooljaar_ID = beginjaar, bv. 2026 → '2026-27')
+-- ---------------------------------------------------------------------
+CREATE TABLE IF NOT EXISTS Schooljaar (
+    Schooljaar_ID SMALLINT    NOT NULL PRIMARY KEY,
+    Schooljaar    VARCHAR(9)  NOT NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+INSERT IGNORE INTO Schooljaar (Schooljaar_ID, Schooljaar) VALUES
+    (2022, '2022-23'), (2023, '2023-24'), (2024, '2024-25'), (2025, '2025-26'),
+    (2026, '2026-27'), (2027, '2027-28'), (2028, '2028-29'), (2029, '2029-30'),
+    (2030, '2030-31'), (2031, '2031-32'), (2032, '2032-33'), (2033, '2033-34'),
+    (2034, '2034-35'), (2035, '2035-36');
+
+-- ---------------------------------------------------------------------
+-- Campus → Lokalen
+-- School_ID verwijst naar Scholen.School_ID in de CENTRALE database.
+-- (Geen harde foreign key: een schooldatabase kan op een andere server staan.)
+-- ---------------------------------------------------------------------
+CREATE TABLE IF NOT EXISTS Campus (
+    Campus_ID   INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    School_ID   INT          NOT NULL,
+    Campus_naam VARCHAR(255) NOT NULL,
+    Adres       VARCHAR(255) NULL,
+    KEY idx_campus_school (School_ID)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Lokalen (
+    Lokaal_ID  INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Naam       VARCHAR(100) NOT NULL,
+    Campus_ID  INT          NULL,          -- leeg = nog niet aan een campus gekoppeld (bv. nieuw CO2-lokaal)
+    Verdieping VARCHAR(20)  NULL,
+    KEY idx_lokalen_naam (Naam),
+    CONSTRAINT fk_lokalen_campus FOREIGN KEY (Campus_ID)
+        REFERENCES Campus (Campus_ID) ON DELETE SET NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Wifi (
+    Wifi_ID      INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Campus_ID    INT          NULL,                  -- [+] op welke campus dit netwerk hoort
+    Naam_Netwerk VARCHAR(100) NOT NULL,
+    Wifi_ww      VARCHAR(255) NULL,
+    CONSTRAINT fk_wifi_campus FOREIGN KEY (Campus_ID)
+        REFERENCES Campus (Campus_ID) ON DELETE SET NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- ---------------------------------------------------------------------
+-- Toestellen
+-- Schooleigen_ID = het eigen toestelnummer van de school (vroeger KAMXM_nummer).
+-- ---------------------------------------------------------------------
+CREATE TABLE IF NOT EXISTS Toestellen (
+    Toestel_ID     INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Schooleigen_ID VARCHAR(50)  NULL,
+    Serienummer    VARCHAR(100) NULL,                -- [+] nodig om het toestel in Google te (de)blokkeren
+    Type           VARCHAR(100) NULL,                -- [+] model
+    Status         VARCHAR(20)  NOT NULL DEFAULT 'Beschikbaar',   -- [+] Beschikbaar / Uitgeleend / Defect
+    Geblokkeerd    TINYINT(1)   NOT NULL DEFAULT 0,   -- [+] 1 = geblokkeerd in Google Admin
+    Afschrijfdatum DATE         NULL,
+    Lokaal_ID      INT          NULL,
+    UNIQUE KEY uq_toestellen_schooleigen (Schooleigen_ID),
+    KEY idx_toestellen_serienummer (Serienummer),
+    KEY idx_toestellen_status (Status),
+    CONSTRAINT fk_toestellen_lokaal FOREIGN KEY (Lokaal_ID)
+        REFERENCES Lokalen (Lokaal_ID) ON DELETE SET NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- Gegevens van Signpost (1 rij per toestel dat via Signpost aangekocht is)
+CREATE TABLE IF NOT EXISTS Signpost_DB (
+    Toestel_ID     INT           NOT NULL PRIMARY KEY,
+    Signpostnummer VARCHAR(50)   NULL,
+    Aankoopbedrag  DECIMAL(10,2) NULL,
+    Aankoopdatum   DATE          NULL,
+    Garantie       DATE          NULL,
+    UNIQUE KEY uq_signpost_nummer (Signpostnummer),
+    CONSTRAINT fk_signpost_toestel FOREIGN KEY (Toestel_ID)
+        REFERENCES Toestellen (Toestel_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Opmerkingen (
+    Opmerking_ID INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Toestel_ID   INT          NOT NULL,
+    Opmerking    TEXT         NOT NULL,
+    Timestamp    DATETIME     NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    Gebruiker    VARCHAR(255) NULL,                  -- [+] wie de opmerking schreef
+    KEY idx_opmerkingen_toestel (Toestel_ID, Timestamp),
+    CONSTRAINT fk_opmerkingen_toestel FOREIGN KEY (Toestel_ID)
+        REFERENCES Toestellen (Toestel_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- ---------------------------------------------------------------------
+-- Leerlingen
+-- ---------------------------------------------------------------------
+CREATE TABLE IF NOT EXISTS Leerlingen (
+    Leerling_ID    INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Internnummer   VARCHAR(32)  NOT NULL,
+    Gebruikersnaam VARCHAR(100) NULL,
+    Naam           VARCHAR(100) NULL,
+    Voornaam       VARCHAR(100) NULL,
+    SS_nummer      VARCHAR(255) NULL,
+    Google_adres   VARCHAR(255) NULL,
+    Schooljaar_ID  SMALLINT     NULL,                -- [+] zie tabel Schooljaar
+    Vertrokken_op  DATE         NULL,                -- niet meer actief in Informat sinds (NULL = actief)
+    UNIQUE KEY uq_leerlingen_internnummer (Internnummer),
+    KEY idx_leerlingen_gebruikersnaam (Gebruikersnaam)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS Co_accounts (
+    Co_account_ID          INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Internnummer           VARCHAR(32)  NOT NULL,
+    Naam                   VARCHAR(100) NULL,
+    Voornaam               VARCHAR(100) NULL,
+    Laatste_aanmelding     DATETIME     NULL,
+    Emailadres_co_accounts VARCHAR(255) NULL,
+    KEY idx_coaccounts_intern (Internnummer),
+    CONSTRAINT fk_coaccounts_leerling FOREIGN KEY (Internnummer)
+        REFERENCES Leerlingen (Internnummer) ON DELETE CASCADE ON UPDATE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- ---------------------------------------------------------------------
+-- Eigendom: welk toestel heeft welke leerling (ook de geschiedenis).
+-- Datum_inlevering leeg = de leerling heeft het toestel nu.
+-- (Vervangt de vroegere tabel Eigendom_archief.)
+-- ---------------------------------------------------------------------
+CREATE TABLE IF NOT EXISTS Eigendom (
+    Eigendom_ID      INT         NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Internnummer     VARCHAR(32) NOT NULL,
+    Toestel_ID       INT         NOT NULL,
+    Status           TINYINT     NOT NULL DEFAULT 0,  -- 0 = actief, 1 = geblokkeerd in Google
+    Datum_toekenning DATE        NOT NULL,
+    Datum_inlevering DATE        NULL,
+    KEY idx_eigendom_leerling (Internnummer, Datum_inlevering),
+    KEY idx_eigendom_toestel (Toestel_ID, Datum_inlevering),
+    CONSTRAINT fk_eigendom_leerling FOREIGN KEY (Internnummer)
+        REFERENCES Leerlingen (Internnummer) ON UPDATE CASCADE,
+    CONSTRAINT fk_eigendom_toestel FOREIGN KEY (Toestel_ID)
+        REFERENCES Toestellen (Toestel_ID)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- ---------------------------------------------------------------------
+-- Herstellingen (via Signpost of intern)
+-- ---------------------------------------------------------------------
+CREATE TABLE IF NOT EXISTS Signpost_herstellingen_DB (
+    Incident_ID        INT           NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Toestel_ID         INT           NOT NULL,
+    Omschrijving       TEXT          NULL,
+    Kostprijs          DECIMAL(10,2) NULL,
+    Status_herstelling VARCHAR(30)   NOT NULL DEFAULT 'geregistreerd',
+    Datum              DATE          NULL,           -- [+] datum van de melding
+    Leerling_ID        INT           NULL,           -- [+] leerling die het toestel binnenbracht
+    KEY idx_herstellingen_toestel (Toestel_ID),
+    CONSTRAINT fk_herstellingen_toestel FOREIGN KEY (Toestel_ID)
+        REFERENCES Toestellen (Toestel_ID) ON DELETE CASCADE,
+    CONSTRAINT fk_herstellingen_leerling FOREIGN KEY (Leerling_ID)
+        REFERENCES Leerlingen (Leerling_ID) ON DELETE SET NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- ---------------------------------------------------------------------
+-- CO2-metingen per lokaal
+-- ---------------------------------------------------------------------
+CREATE TABLE IF NOT EXISTS CO2_Metingen (
+    Meting_ID BIGINT   NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Lokaal_ID INT      NOT NULL,
+    ppm       INT      NOT NULL,
+    Timestamp DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP,
+    KEY idx_co2_lokaal_tijd (Lokaal_ID, Timestamp),
+    KEY idx_co2_tijd (Timestamp),
+    CONSTRAINT fk_co2_lokaal FOREIGN KEY (Lokaal_ID)
+        REFERENCES Lokalen (Lokaal_ID) ON DELETE CASCADE
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- =====================================================================
+-- [+] Tabellen van PIVOT-modules die niet in de PDF staan
+--     (PIVOT maakt ze ook zelf aan bij het eerste gebruik)
+-- =====================================================================
+CREATE TABLE IF NOT EXISTS smartschool_afwezigheden (
+    Datum        DATE        NOT NULL,
+    Internnummer VARCHAR(32) NOT NULL,
+    Dagdeel      CHAR(2)     NOT NULL,
+    Code         VARCHAR(8)  NOT NULL,
+    PRIMARY KEY (Datum, Internnummer, Dagdeel),
+    INDEX idx_intern (Internnummer),
+    INDEX idx_code (Code)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS smartschool_afwezigheden_sync (
+    Datum     DATE     NOT NULL PRIMARY KEY,
+    Opgehaald DATETIME NOT NULL,
+    Aantal    INT      NOT NULL DEFAULT 0
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS tweestaps_uitzonderingen (
+    ID             INT AUTO_INCREMENT PRIMARY KEY,
+    Email          VARCHAR(255) NOT NULL,
+    Naam           VARCHAR(255) NULL,
+    Reden          VARCHAR(255) NULL,
+    Van            DATETIME     NOT NULL,
+    Tot            DATETIME     NOT NULL,
+    Door           VARCHAR(100) NULL,
+    Actief         TINYINT      NOT NULL DEFAULT 1,
+    Beeindigd_op   DATETIME     NULL,
+    Beeindigd_door VARCHAR(100) NULL,
+    INDEX idx_actief (Actief, Tot),
+    INDEX idx_email (Email)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS tweestaps_log (
+    ID       INT AUTO_INCREMENT PRIMARY KEY,
+    Tijdstip DATETIME     NOT NULL,
+    Door     VARCHAR(100) NULL,
+    Actie    VARCHAR(40)  NOT NULL,
+    Email    VARCHAR(255) NOT NULL,
+    Details  VARCHAR(255) NULL,
+    INDEX idx_tijdstip (Tijdstip)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS gmail_delegatie_log (
+    ID           INT AUTO_INCREMENT PRIMARY KEY,
+    Tijdstip     DATETIME     NOT NULL,
+    Gebruiker    VARCHAR(100) NULL,
+    Actie        VARCHAR(20)  NOT NULL,
+    Mailbox      VARCHAR(255) NOT NULL,
+    Gedelegeerde VARCHAR(255) NOT NULL,
+    INDEX idx_mailbox (Mailbox),
+    INDEX idx_tijdstip (Tijdstip)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS gmail_delegaties (
+    Mailbox           VARCHAR(255) NOT NULL,
+    Mailbox_naam      VARCHAR(255) NULL,
+    Gedelegeerde      VARCHAR(255) NOT NULL,
+    Gedelegeerde_naam VARCHAR(255) NULL,
+    Status            VARCHAR(20)  NULL,
+    Opgehaald         DATETIME     NOT NULL,
+    PRIMARY KEY (Mailbox, Gedelegeerde),
+    KEY idx_gmail_deleg_gedelegeerde (Gedelegeerde)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS gmail_delegaties_scan (
+    ID        TINYINT  NOT NULL PRIMARY KEY,
+    Opgehaald DATETIME NULL,
+    Mailboxen INT      NULL,
+    Fouten    INT      NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS internaat_aanwezigheid (
+    Datum       DATE         NOT NULL,
+    Persoon_ID  VARCHAR(64)  NOT NULL,          -- pPersoon/persoonId uit de Internaat-API van Informat
+    Moment      VARCHAR(10)  NOT NULL,          -- ochtend | avond
+    Status      VARCHAR(10)  NOT NULL,          -- aanwezig | afwezig (geen rij = nog niet gecontroleerd)
+    Naam        VARCHAR(200) NULL,
+    Bijgewerkt  DATETIME     NOT NULL,
+    Door        VARCHAR(255) NULL,
+    PRIMARY KEY (Datum, Persoon_ID, Moment),
+    KEY idx_aanw_persoon (Persoon_ID)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS gmail_label_log (
+    ID        INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Gestart   DATETIME     NOT NULL,
+    Klaar     DATETIME     NULL,
+    Door      VARCHAR(255) NULL,
+    Bron      VARCHAR(255) NOT NULL,
+    Label     VARCHAR(255) NOT NULL,
+    Doel      VARCHAR(255) NOT NULL,
+    Modus     VARCHAR(12)  NOT NULL,              -- kopieren | verplaatsen
+    Totaal    INT          NULL,
+    Gelukt    INT          NULL,
+    Overgeslagen INT       NULL,
+    Fouten    INT          NULL,
+    Melding   VARCHAR(500) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS gmail_label_items (
+    Bron      VARCHAR(255) NOT NULL,
+    Bron_ID   VARCHAR(64)  NOT NULL,                -- Gmail-id in de bronmailbox
+    Doel      VARCHAR(255) NOT NULL,
+    Doel_ID   VARCHAR(64)  NULL,                    -- Gmail-id van de kopie in de doelmailbox
+    Gekopieerd DATETIME    NOT NULL,
+    PRIMARY KEY (Bron, Bron_ID, Doel)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- Gmail-handtekeningen: sjabloon, logo en gekozen OU's (één rij) en wanneer de handtekening per gebruiker gezet werd
+CREATE TABLE IF NOT EXISTS gmail_handtekening (
+    ID            TINYINT      NOT NULL PRIMARY KEY,
+    Sjabloon      MEDIUMTEXT   NULL,
+    OUs           TEXT         NULL,
+    Met_sub_ous   TINYINT      NOT NULL DEFAULT 1,
+    Logo          MEDIUMBLOB   NULL,
+    Logo_type     VARCHAR(40)  NULL,
+    Logo_sleutel  VARCHAR(40)  NULL,
+    Logo_url      VARCHAR(500) NULL,
+    Logo_breedte  INT          NOT NULL DEFAULT 120,
+    Publiek_adres VARCHAR(255) NULL,
+    Nachtelijk    TINYINT      NOT NULL DEFAULT 0,
+    Laatste_nacht DATE         NULL,
+    Nacht_resultaat VARCHAR(500) NULL,
+    Bijgewerkt    DATETIME     NULL,
+    Door          VARCHAR(255) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS gmail_handtekening_log (
+    Email      VARCHAR(255) NOT NULL PRIMARY KEY,
+    Toegepast  DATETIME     NOT NULL,
+    Ok         TINYINT      NOT NULL,
+    Melding    VARCHAR(500) NULL,
+    Hash       CHAR(40)     NULL,
+    Door       VARCHAR(255) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- Gmail › Contacten: contactlijsten die PIVOT in de mailboxen van de gekozen OU's zet
+CREATE TABLE IF NOT EXISTS contact_lijsten (
+    ID          INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Naam        VARCHAR(100) NOT NULL,              -- label in Google Contacten
+    OUs         TEXT         NULL,                  -- JSON-lijst van OU-paden
+    Met_sub_ous TINYINT      NOT NULL DEFAULT 1,
+    Bijgewerkt  DATETIME     NULL,
+    Door        VARCHAR(255) NULL,
+    Laatste_sync DATETIME    NULL,
+    Resultaat   VARCHAR(500) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS contact_lijst_items (
+    ID          INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Lijst_ID    INT          NOT NULL,
+    Voornaam    VARCHAR(100) NULL,
+    Achternaam  VARCHAR(100) NULL,
+    Organisatie VARCHAR(150) NULL,
+    Functie     VARCHAR(150) NULL,
+    Email       VARCHAR(255) NULL,
+    Telefoon    VARCHAR(60)  NULL,
+    Notitie     VARCHAR(500) NULL,
+    KEY idx_cli_lijst (Lijst_ID)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+
+
+CREATE TABLE IF NOT EXISTS google_licenties (
+    SKU_ID          VARCHAR(32)  NOT NULL PRIMARY KEY,
+    Naam            VARCHAR(128) NOT NULL,
+    Aangekocht      INT          NOT NULL DEFAULT 0,
+    Bijgewerkt      DATETIME     NULL,
+    Bijgewerkt_door VARCHAR(100) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS personeel_aanvragen (
+    ID              INT AUTO_INCREMENT PRIMARY KEY,
+    Soort           VARCHAR(20)   NOT NULL,
+    Status          VARCHAR(20)   NOT NULL,
+    Email           VARCHAR(255)  NOT NULL,
+    Naam            VARCHAR(255)  NULL,
+    Ingediend_door  VARCHAR(255)  NULL,
+    Titel           VARCHAR(255)  NOT NULL,
+    Omschrijving    TEXT          NULL,
+    Locatie         VARCHAR(255)  NULL,
+    Van_datum       DATE          NOT NULL,
+    Tot_datum       DATE          NOT NULL,
+    Dagdeel         VARCHAR(10)   NOT NULL DEFAULT 'dag',
+    Lesuren         VARCHAR(50)   NULL,
+    Klassen         TEXT          NULL,
+    Begeleiders     TEXT          NULL,
+    Kost            DECIMAL(10,2) NULL,
+    Vervanging_ok   TINYINT       NOT NULL DEFAULT 0,
+    Vervanging_info VARCHAR(255)  NULL,
+    Aangemaakt      DATETIME      NOT NULL,
+    Bijgewerkt      DATETIME      NOT NULL,
+    INDEX idx_status (Status),
+    INDEX idx_datum (Van_datum, Tot_datum),
+    INDEX idx_email (Email)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS personeel_reacties (
+    ID          INT AUTO_INCREMENT PRIMARY KEY,
+    Aanvraag_ID INT          NOT NULL,
+    Tijdstip    DATETIME     NOT NULL,
+    Email       VARCHAR(255) NULL,
+    Naam        VARCHAR(255) NULL,
+    Actie       VARCHAR(30)  NOT NULL,
+    Tekst       TEXT         NULL,
+    INDEX idx_aanvraag (Aanvraag_ID)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+-- Skore-synchronisatie (planning + logboek)
+CREATE TABLE IF NOT EXISTS skore_planning (
+    ID              TINYINT      NOT NULL PRIMARY KEY,
+    Frequentie      VARCHAR(20)  NOT NULL DEFAULT 'uit',
+    Uur             TINYINT      NOT NULL DEFAULT 6,
+    Minuut          TINYINT      NOT NULL DEFAULT 0,
+    Weekdag         TINYINT      NOT NULL DEFAULT 0,
+    Dag_van_maand   TINYINT      NOT NULL DEFAULT 1,
+    Laatst_gepland  DATETIME     NULL,
+    Bijgewerkt      DATETIME     NULL,
+    Bijgewerkt_door VARCHAR(255) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+CREATE TABLE IF NOT EXISTS skore_log (
+    ID         INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Gestart    DATETIME     NOT NULL,
+    Door       VARCHAR(255) NULL,
+    Manier     VARCHAR(20)  NOT NULL,
+    Service_ID VARCHAR(100) NULL,
+    Status     VARCHAR(30)  NOT NULL,
+    Melding    TEXT         NULL,
+    Bijgewerkt DATETIME     NULL,
+    INDEX idx_skore_gestart (Gestart)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+INSERT IGNORE INTO skore_planning (ID) VALUES (1);
+
+CREATE TABLE IF NOT EXISTS smartschool_coaccounts (
+    Internnummer      VARCHAR(32)  NOT NULL,
+    Nr                TINYINT      NOT NULL,
+    Gebruikersnaam    VARCHAR(100) NULL,
+    Leerling_naam     VARCHAR(100) NULL,
+    Leerling_voornaam VARCHAR(100) NULL,
+    Klas              VARCHAR(50)  NULL,
+    Voornaam          VARCHAR(100) NULL,
+    Naam              VARCHAR(100) NULL,
+    Type              VARCHAR(50)  NULL,
+    Email             VARCHAR(255) NULL,
+    Laatste_login     DATETIME     NULL,
+    Opgehaald         DATETIME     NOT NULL,
+    PRIMARY KEY (Internnummer, Nr),
+    KEY idx_coacc_klas (Klas)
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
+
+CREATE TABLE IF NOT EXISTS gopro_keuzes (
+    Person_ID   VARCHAR(64)  NOT NULL PRIMARY KEY,
+    Functie     VARCHAR(100) NULL,
+    Rol         VARCHAR(100) NULL,
+    Bijgewerkt  DATETIME     NOT NULL,
+    Door        VARCHAR(255) NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
+
diff --git a/static/PIVOT_transparant_logo.png b/static/PIVOT_transparant_logo.png
new file mode 100644
index 0000000..e6b17e1
Binary files /dev/null and b/static/PIVOT_transparant_logo.png differ
diff --git a/static/global.css b/static/global.css
new file mode 100644
index 0000000..c2d08b8
--- /dev/null
+++ b/static/global.css
@@ -0,0 +1,589 @@
+/* ==========================================================================
+   PIVOT – GLOBALE HUISSTIJL
+   Eén stylesheet voor alle pagina's. Pagina's erven van templates/base.html
+   en gebruiken de klassen hieronder; paginaspecifieke CSS blijft beperkt
+   tot {% block extra_css %}.
+   ========================================================================== */
+
+/* ---------- 1. Design tokens ---------- */
+:root {
+    /* Merkkleuren */
+    --primary-color: #1e6fa5;
+    --primary-dark: #17577f;
+    --primary-light: #e8f1f8;
+    --background-color: #F4F7FA;
+
+    /* Neutralen */
+    --surface: #ffffff;
+    --surface-muted: #f8fafc;
+    --border: #e2e8f0;
+    --border-strong: #cbd5e1;
+    --text: #1e293b;
+    --text-muted: #64748b;
+
+    /* Statuskleuren */
+    --success: #16a34a;  --success-bg: #dcfce7;  --success-text: #166534;
+    --warning: #eab308;  --warning-bg: #fef9c3;  --warning-text: #854d0e;
+    --danger:  #dc2626;  --danger-bg:  #fee2e2;  --danger-text:  #991b1b;
+    --info:    #2563eb;  --info-bg:    #dbeafe;  --info-text:    #1e40af;
+    --accent:  #f1c709;  /* geel accent (toevoegen / bewerken) */
+    --bug:     #16a34a;  /* groen accent voor bug-pagina's */
+
+    /* Vorm */
+    --radius-sm: 6px;
+    --radius: 10px;
+    --radius-lg: 14px;
+    --shadow-sm: 0 1px 2px rgba(15, 23, 42, .06);
+    --shadow: 0 1px 3px rgba(15, 23, 42, .08), 0 4px 12px rgba(15, 23, 42, .05);
+    --shadow-lg: 0 10px 30px rgba(15, 23, 42, .18);
+
+    --header-height: 64px;
+    --page-width: 1200px;
+    --font: "Segoe UI", system-ui, -apple-system, Roboto, Arial, sans-serif;
+}
+
+/* ---------- 2. Basis ---------- */
+*, *::before, *::after { box-sizing: border-box; }
+
+html { overflow-y: scroll; }
+
+body {
+    margin: 0;
+    min-height: 100vh;
+    display: flex;
+    flex-direction: column;
+    font-family: var(--font);
+    font-size: 15px;
+    line-height: 1.5;
+    color: var(--text);
+    background-color: var(--background-color);
+}
+
+h1, h2, h3, h4 { margin: 0 0 .6em; line-height: 1.25; color: var(--text); }
+h2 { font-size: 1.35rem; }
+h3 { font-size: 1.1rem; }
+p  { margin: 0 0 1em; }
+a  { color: var(--primary-color); }
+
+.muted { color: var(--text-muted); }
+.small { font-size: .85rem; }
+.text-center { text-align: center; }
+.text-right { text-align: right; }
+.nowrap { white-space: nowrap; }
+.mono { font-family: ui-monospace, SFMono-Regular, Consolas, monospace; font-size: .85em; }
+.hidden { display: none !important; }
+
+/* ---------- 3. Header ---------- */
+.app-header {
+    position: sticky;
+    top: 0;
+    z-index: 1000;
+    height: var(--header-height);
+    display: grid;
+    grid-template-columns: 1fr auto 1fr;
+    align-items: center;
+    gap: 16px;
+    padding: 0 24px;
+    background: var(--primary-color);
+    color: #fff;
+    box-shadow: 0 2px 8px rgba(0, 0, 0, .15);
+}
+.app-header.header--bug { background: var(--bug); }
+
+.header-left, .header-right { display: flex; align-items: center; gap: 12px; min-width: 0; }
+.header-right { justify-content: flex-end; }
+
+.brand {
+    display: flex; align-items: center; gap: 10px;
+    color: #fff; text-decoration: none; font-weight: 700; letter-spacing: 1px;
+    white-space: nowrap;
+}
+.brand-mark {
+    width: 38px; height: 38px; border-radius: 50%;
+    background: #fff; padding: 4px;
+    display: grid; place-items: center;
+}
+.brand-mark img { width: 100%; height: 100%; object-fit: contain; }
+.brand-name { font-size: 18px; }
+.brand-school { font-weight: 400; opacity: .8; letter-spacing: 0; font-size: 14px; }
+
+.page-title {
+    margin: 0;
+    font-size: 22px;
+    font-weight: 700;
+    color: #fff;
+    white-space: nowrap;
+    overflow: hidden;
+    text-overflow: ellipsis;
+    text-align: center;
+}
+
+.header-user { font-size: 14px; opacity: .9; white-space: nowrap; }
+
+.home-btn, .logout-btn, .header-btn {
+    display: inline-flex; align-items: center; gap: 6px;
+    height: 36px; padding: 0 14px;
+    border: 0; border-radius: var(--radius-sm);
+    font: inherit; font-size: 14px; font-weight: 600;
+    text-decoration: none; cursor: pointer; white-space: nowrap;
+    transition: background-color .15s;
+}
+.home-btn, .header-btn { background: rgba(255, 255, 255, .16); color: #fff; }
+.home-btn:hover, .header-btn:hover { background: rgba(255, 255, 255, .28); }
+.logout-btn { background: #fff; color: var(--danger); }
+.logout-btn:hover { background: var(--danger-bg); }
+.app-header form { margin: 0; }
+
+/* ---------- 4. Pagina-layout ---------- */
+.app-main {
+    flex: 1;
+    width: 100%;
+    max-width: var(--page-width);
+    margin: 0 auto;
+    padding: 28px 24px 40px;
+}
+.app-main.narrow { max-width: 760px; }
+.app-main.medium { max-width: 980px; }
+.app-main.wide   { max-width: 1400px; }
+
+.page-head {
+    display: flex; flex-wrap: wrap; align-items: center; justify-content: space-between;
+    gap: 12px; margin-bottom: 18px;
+}
+.page-head h2 { margin: 0; }
+.page-head .actions { display: flex; flex-wrap: wrap; gap: 8px; }
+
+.card {
+    background: var(--surface);
+    border: 1px solid var(--border);
+    border-radius: var(--radius-lg);
+    box-shadow: var(--shadow);
+    padding: 24px;
+}
+.card + .card { margin-top: 20px; }
+.card-title { font-size: 1.1rem; margin: 0 0 14px; }
+.card.subtle { background: var(--surface-muted); box-shadow: none; }
+
+/* Twee-koloms layout (formulier + scanner/info) */
+.split {
+    display: grid;
+    grid-template-columns: 3fr 2fr;
+    gap: 20px;
+    align-items: start;
+}
+.split > .card + .card { margin-top: 0; }
+@media (max-width: 860px) {
+    .split { grid-template-columns: 1fr; }
+    .split .order-first-mobile { order: -1; }
+}
+
+/* ---------- 5. Formulieren ---------- */
+label { font-weight: 600; font-size: 14px; }
+
+input:not([type=checkbox]):not([type=radio]):not([type=hidden]):not([type=file]),
+select, textarea {
+    width: 100%;
+    padding: 10px 12px;
+    font: inherit;
+    font-size: 15px;
+    color: var(--text);
+    background: #fff;
+    border: 1px solid var(--border-strong);
+    border-radius: var(--radius-sm);
+    transition: border-color .15s, box-shadow .15s;
+}
+input:focus, select:focus, textarea:focus {
+    outline: none;
+    border-color: var(--primary-color);
+    box-shadow: 0 0 0 3px rgba(30, 111, 165, .18);
+}
+input[readonly], input:disabled, textarea:disabled, select:disabled {
+    background: var(--surface-muted); color: var(--text-muted); cursor: not-allowed;
+}
+textarea { min-height: 100px; resize: vertical; }
+input[type=checkbox], input[type=radio] { width: 18px; height: 18px; accent-color: var(--primary-color); cursor: pointer; }
+input[type=file] {
+    width: 100%; padding: 12px; font: inherit;
+    background: var(--surface-muted);
+    border: 1px dashed var(--primary-color); border-radius: var(--radius-sm);
+}
+
+.field { margin-bottom: 16px; }
+.field > label { display: block; margin-bottom: 6px; }
+.field-hint { font-size: 13px; color: var(--text-muted); margin-top: 4px; }
+
+.check {
+    display: flex; align-items: center; gap: 10px;
+    font-weight: 500; cursor: pointer;
+}
+.check-box {
+    display: flex; align-items: center; gap: 10px;
+    padding: 12px 14px; margin: 4px 0 16px;
+    background: var(--surface-muted); border: 1px solid var(--border);
+    border-radius: var(--radius-sm); font-weight: 500; cursor: pointer;
+}
+
+/* Zoekbalk: invoerveld + knop op één lijn */
+.search-bar {
+    display: flex; flex-wrap: wrap; gap: 8px; margin: 0 0 16px;
+}
+.search-bar input:not([type=hidden]) { flex: 1 1 260px; width: auto; }
+
+.input-group { display: flex; gap: 6px; }
+.input-group input { flex: 1; }
+
+.password-wrap { position: relative; }
+.password-wrap input { padding-right: 44px !important; }
+.password-toggle {
+    position: absolute; right: 6px; top: 50%; transform: translateY(-50%);
+    background: none !important; border: 0; padding: 4px 8px; font-size: 16px;
+    color: var(--text-muted); cursor: pointer; box-shadow: none;
+}
+
+/* ---------- 6. Knoppen ---------- */
+button, .btn {
+    display: inline-flex; align-items: center; justify-content: center; gap: 6px;
+    padding: 9px 16px;
+    font: inherit; font-size: 14px; font-weight: 600; line-height: 1.3;
+    color: #fff;
+    background-color: var(--primary-color);
+    border: 1px solid transparent;
+    border-radius: var(--radius-sm);
+    text-decoration: none;
+    cursor: pointer;
+    white-space: nowrap;
+    transition: background-color .15s, border-color .15s, transform .05s;
+}
+button:hover, .btn:hover { background-color: var(--primary-dark); }
+button:active, .btn:active { transform: translateY(1px); }
+button:disabled, .btn:disabled { opacity: .5; cursor: not-allowed; }
+
+.btn-secondary { background: #475569; }
+.btn-secondary:hover { background: #334155; }
+.btn-light { background: #fff; color: var(--text); border-color: var(--border-strong); }
+.btn-light:hover { background: var(--surface-muted); }
+.btn-success { background: var(--success); }
+.btn-success:hover { background: #15803d; }
+.btn-warning { background: var(--accent); color: #3f3200; }
+.btn-warning:hover { background: #d9b308; }
+.btn-danger { background: var(--danger); }
+.btn-danger:hover { background: #b91c1c; }
+.btn-ghost { background: transparent; color: var(--text-muted); }
+.btn-ghost:hover { background: var(--surface-muted); color: var(--text); }
+.btn-link { background: none; color: var(--danger); padding: 6px; text-decoration: underline; }
+.btn-link:hover { background: none; color: #991b1b; }
+.btn-sm { padding: 6px 10px; font-size: 13px; }
+.btn-lg { padding: 13px 22px; font-size: 16px; }
+.btn-block { display: flex; width: 100%; }
+.btn-block + .btn-block { margin-top: 10px; }
+
+/* Oude klassen die nog gebruikt worden */
+.add-btn { background: var(--accent); color: #3f3200; }
+.add-btn:hover { background: #d9b308; }
+.btn-bewerk { background: var(--accent); color: #3f3200; }
+.btn-bewerk:hover { background: #d9b308; }
+
+/* ---------- 7. Tabellen ---------- */
+.table-wrap {
+    width: 100%;
+    overflow-x: auto;
+    border: 1px solid var(--border);
+    border-radius: var(--radius);
+    margin-top: 12px;
+}
+table { width: 100%; border-collapse: collapse; background: #fff; text-align: left; }
+th, td { padding: 11px 14px; border-bottom: 1px solid var(--border); vertical-align: middle; }
+th {
+    background: var(--surface-muted);
+    font-size: 12px; font-weight: 700; text-transform: uppercase; letter-spacing: .04em;
+    color: var(--text-muted); white-space: nowrap;
+}
+tbody tr:last-child td { border-bottom: 0; }
+tbody tr:hover { background: #f8fbfe; }
+td.actions, th.actions { text-align: right; white-space: nowrap; }
+td.actions form { display: inline; margin: 0; }
+td.actions > * + * { margin-left: 6px; }
+td.center, th.center { text-align: center; }
+.empty-row td { text-align: center; color: var(--text-muted); padding: 32px; }
+
+/* Kolommen tonen/verbergen */
+.column-toggles {
+    display: flex; flex-wrap: wrap; gap: 8px;
+    margin: 4px 0 8px;
+}
+.column-toggles label {
+    display: inline-flex; align-items: center; gap: 6px;
+    padding: 5px 12px; font-size: 13px; font-weight: 500;
+    background: var(--surface-muted); border: 1px solid var(--border);
+    border-radius: 999px; cursor: pointer; user-select: none;
+}
+.column-toggles input { width: 15px; height: 15px; }
+
+/* ---------- 8. Badges ---------- */
+.badge {
+    display: inline-flex; align-items: center; gap: 4px;
+    padding: 3px 10px; border-radius: 999px;
+    font-size: 12.5px; font-weight: 600; white-space: nowrap;
+    background: #e2e8f0; color: #334155;
+}
+.badge-success { background: var(--success-bg); color: var(--success-text); }
+.badge-warning { background: var(--warning-bg); color: var(--warning-text); }
+.badge-danger  { background: var(--danger-bg);  color: var(--danger-text); }
+.badge-info    { background: var(--info-bg);    color: var(--info-text); }
+
+/* ---------- 9. Flash-berichten ---------- */
+.flash-container { display: flex; flex-direction: column; gap: 8px; margin-bottom: 18px; }
+.flash-message {
+    display: flex; align-items: flex-start; gap: 10px;
+    padding: 12px 16px;
+    border-radius: var(--radius);
+    border: 1px solid transparent;
+    font-weight: 500;
+    background: var(--info-bg); color: var(--info-text); border-color: #bfdbfe;
+    animation: flashIn .3s ease;
+}
+.flash-message.success { background: var(--success-bg); color: var(--success-text); border-color: #bbf7d0; }
+.flash-message.error, .flash-message.danger { background: var(--danger-bg); color: var(--danger-text); border-color: #fecaca; }
+.flash-message.warning { background: var(--warning-bg); color: var(--warning-text); border-color: #fde68a; }
+.flash-message .flash-close {
+    margin-left: auto; padding: 0 4px; background: none; color: inherit;
+    font-size: 18px; line-height: 1; opacity: .6;
+}
+.flash-message .flash-close:hover { opacity: 1; background: none; }
+@keyframes flashIn { from { opacity: 0; transform: translateY(-6px); } to { opacity: 1; transform: none; } }
+
+/* Inline meldingen (bv. in een modal of loginformulier) */
+.alert { padding: 10px 14px; border-radius: var(--radius-sm); margin-bottom: 14px; font-size: 14px; text-align: left;
+         background: var(--info-bg); color: var(--info-text); }
+.alert-success { background: var(--success-bg); color: var(--success-text); }
+.alert-danger, .alert-error { background: var(--danger-bg); color: var(--danger-text); }
+.alert-warning { background: var(--warning-bg); color: var(--warning-text); }
+
+/* ---------- 10. Tabs ---------- */
+.tabs {
+    display: flex; gap: 4px; flex-wrap: wrap;
+    border-bottom: 1px solid var(--border);
+    margin-bottom: 0;
+}
+.tab-link {
+    background: transparent; color: var(--text-muted);
+    border: 0; border-bottom: 3px solid transparent; border-radius: 0;
+    padding: 12px 18px; font-weight: 600;
+}
+.tab-link:hover { background: transparent; color: var(--text); }
+.tab-link.active { color: var(--primary-color); border-bottom-color: var(--primary-color); }
+.tab-content {
+    display: none;
+    background: var(--surface);
+    border: 1px solid var(--border); border-top: 0;
+    border-radius: 0 0 var(--radius-lg) var(--radius-lg);
+    box-shadow: var(--shadow);
+    padding: 24px;
+}
+.tab-content.active { display: block; }
+/* Losstaande tabs (tabs staan in de page-head i.p.v. vast aan de kaart) */
+.tab-content.card { border-top: 1px solid var(--border); border-radius: var(--radius-lg); }
+.tab-content + .tab-content { margin-top: 0; }
+.page-head .tabs { border-bottom: 0; }
+
+/* ---------- 11. Modals ---------- */
+/* .modal wordt via JS op display:block gezet, .modal-overlay op display:flex */
+.modal, .modal-overlay {
+    display: none;
+    position: fixed; inset: 0;
+    z-index: 2000;
+    overflow-y: auto;
+    padding: 6vh 16px;
+    background: rgba(15, 23, 42, .5);
+}
+.modal-overlay { align-items: flex-start; justify-content: center; }
+.modal-content {
+    position: relative;
+    width: 100%;
+    max-width: 480px;
+    margin: 0 auto;
+    background: var(--surface);
+    border-radius: var(--radius-lg);
+    box-shadow: var(--shadow-lg);
+    padding: 26px;
+    text-align: left;
+    animation: modalIn .18s ease;
+}
+.modal-content.wide { max-width: 680px; }
+.modal-content h2, .modal-content h3 { margin: 0 0 18px; padding-right: 30px; color: var(--primary-color); }
+.modal-footer { display: flex; justify-content: flex-end; gap: 8px; margin-top: 20px; }
+.close, .close-btn {
+    position: absolute; top: 14px; right: 16px;
+    width: 32px; height: 32px; display: grid; place-items: center;
+    font-size: 24px; line-height: 1; color: var(--text-muted);
+    border-radius: 50%; cursor: pointer;
+}
+.close:hover, .close-btn:hover { background: var(--surface-muted); color: var(--text); }
+@keyframes modalIn { from { opacity: 0; transform: translateY(8px); } to { opacity: 1; transform: none; } }
+
+/* Grote statusknoppen in modals */
+.status-button { display: flex; width: 100%; padding: 14px; margin: 10px 0 0; font-size: 16px; border-radius: var(--radius); }
+.status-success { background: var(--success); }
+.status-success:hover { background: #15803d; }
+.status-info { background: var(--info); }
+.status-info:hover { background: #1d4ed8; }
+.status-warning { background: #f59e0b; color: #fff; }
+.status-warning:hover { background: #d97706; }
+.status-danger { background: var(--danger); }
+.status-danger:hover { background: #b91c1c; }
+
+/* ---------- 12. Schakelaar (toggle) ---------- */
+.switch { position: relative; display: inline-block; width: 46px; height: 26px; flex-shrink: 0; }
+.switch input { opacity: 0; width: 0; height: 0; }
+.slider { position: absolute; inset: 0; cursor: pointer; background: var(--border-strong); border-radius: 26px; transition: .25s; }
+.slider::before { content: ""; position: absolute; width: 20px; height: 20px; left: 3px; top: 3px; background: #fff; border-radius: 50%; transition: .25s; box-shadow: 0 1px 2px rgba(0,0,0,.2); }
+.switch input:checked + .slider { background: var(--success); }
+.switch input:checked + .slider::before { transform: translateX(20px); }
+.switch-row { display: flex; justify-content: space-between; align-items: center; gap: 12px; padding: 10px 0; border-bottom: 1px solid var(--border); }
+.switch-row:last-of-type { border-bottom: 0; }
+
+/* ---------- 13. Laadscherm ---------- */
+#loader-overlay {
+    display: none;
+    position: fixed; inset: 0;
+    z-index: 9999;
+    flex-direction: column; justify-content: center; align-items: center; gap: 16px;
+    background: rgba(255, 255, 255, .85);
+    backdrop-filter: blur(2px);
+}
+.spinner {
+    width: 52px; height: 52px;
+    border: 5px solid var(--primary-light);
+    border-top-color: var(--primary-color);
+    border-radius: 50%;
+    animation: spin .9s linear infinite;
+}
+.loader-text { font-weight: 600; color: var(--primary-color); font-size: 17px; text-align: center; }
+.loader-sub { color: var(--text-muted); font-size: 14px; margin-top: -8px; }
+@keyframes spin { to { transform: rotate(360deg); } }
+
+/* ---------- 14. Footer ---------- */
+.app-footer {
+    padding: 16px 24px;
+    font-size: 12.5px;
+    color: var(--text-muted);
+    text-align: right;
+}
+
+/* ---------- 15. Dashboard ---------- */
+.dash-greeting { margin-bottom: 24px; }
+.dash-greeting h2 { margin: 0 0 2px; font-size: 1.5rem; }
+.dash-section-title {
+    display: flex; align-items: center; gap: 10px;
+    margin: 32px 0 14px; font-size: 13px; font-weight: 700;
+    letter-spacing: .08em; text-transform: uppercase; color: var(--text-muted);
+}
+.dash-section-title::after { content: ""; flex: 1; height: 1px; background: var(--border); }
+.dash-section-title.admin { color: var(--danger); }
+.dash-section-title.admin::after { background: #fecaca; }
+
+.tile-grid {
+    display: grid;
+    grid-template-columns: repeat(auto-fill, minmax(250px, 1fr));
+    gap: 18px;
+}
+.tile {
+    display: flex; flex-direction: column;
+    background: var(--surface);
+    border: 1px solid var(--border);
+    border-top: 4px solid var(--primary-color);
+    border-radius: var(--radius-lg);
+    box-shadow: var(--shadow);
+    overflow: hidden;
+}
+.tile-head { display: flex; align-items: center; gap: 12px; padding: 18px 18px 10px; }
+.tile-icon {
+    width: 42px; height: 42px; flex-shrink: 0;
+    display: grid; place-items: center; font-size: 22px;
+    background: var(--primary-light); border-radius: 10px;
+}
+.tile-head h3 { margin: 0; font-size: 1.05rem; color: var(--primary-color); }
+.tile-links { list-style: none; margin: 0; padding: 4px 8px 10px; }
+.tile-links a {
+    display: flex; align-items: center; gap: 10px;
+    padding: 9px 10px; border-radius: var(--radius-sm);
+    color: var(--text); text-decoration: none; font-weight: 500;
+    transition: background-color .12s, color .12s;
+}
+.tile-links a::after { content: "›"; margin-left: auto; color: var(--border-strong); font-size: 18px; transition: transform .12s; }
+.tile-links a:hover { background: var(--primary-light); color: var(--primary-color); }
+.tile-links a:hover::after { color: var(--primary-color); transform: translateX(2px); }
+
+.tile.tile-bug { border-top-color: var(--bug); }
+.tile.tile-bug .tile-icon { background: var(--success-bg); }
+.tile.tile-bug h3 { color: var(--success-text); }
+.tile.tile-bug .tile-links a:hover { background: var(--success-bg); color: var(--success-text); }
+.tile.tile-tools { border-top-color: #0d9488; }
+.tile.tile-tools .tile-icon { background: #ccfbf1; }
+.tile.tile-tools h3 { color: #0f766e; }
+.tile.tile-tools .tile-links a:hover { background: #ccfbf1; color: #0f766e; }
+.tile.tile-scholengroep { border-top-color: #7c3aed; }
+.tile.tile-scholengroep .tile-icon { background: #ede9fe; }
+.tile.tile-scholengroep h3 { color: #5b21b6; }
+.tile.tile-scholengroep .tile-links a:hover { background: #ede9fe; color: #5b21b6; }
+.tile.tile-handleiding { border-top-color: var(--info); }
+.tile.tile-handleiding .tile-icon { background: var(--info-bg); }
+.tile.tile-handleiding h3 { color: var(--info-text); }
+.tile.tile-handleiding .tile-links a:hover { background: var(--info-bg); color: var(--info-text); }
+
+.tile.tile-admin { border-top-color: var(--danger); }
+.tile.tile-admin .tile-icon { background: var(--danger-bg); }
+.tile.tile-admin h3 { color: var(--danger-text); }
+.tile.tile-admin .tile-links a:hover { background: var(--danger-bg); color: var(--danger-text); }
+
+/* ---------- 16. Loginpagina ---------- */
+body.auth-page { background: linear-gradient(160deg, #eaf2f9 0%, var(--background-color) 55%); }
+.auth-wrap {
+    flex: 1; display: flex; flex-direction: column; align-items: center; justify-content: center;
+    padding: 32px 16px;
+}
+.auth-logo { width: 100%; max-width: 380px; margin-bottom: 28px; }
+.auth-card { width: 100%; max-width: 380px; }
+.auth-card h2 { text-align: center; margin-bottom: 20px; }
+.separator { display: flex; align-items: center; gap: 10px; margin: 18px 0; color: var(--text-muted); font-size: 13px; }
+.separator::before, .separator::after { content: ""; flex: 1; border-bottom: 1px solid var(--border); }
+.google-btn {
+    display: flex; align-items: center; justify-content: center; gap: 10px;
+    padding: 10px; border: 1px solid #dadce0; border-radius: var(--radius-sm);
+    background: #fff; color: #3c4043; font-weight: 600; text-decoration: none;
+    transition: background-color .15s, box-shadow .15s;
+}
+.google-btn:hover { background: #f8f9fa; box-shadow: 0 1px 3px rgba(60,64,67,.3); }
+.google-btn img { width: 18px; height: 18px; }
+
+/* ---------- 17. Responsief ---------- */
+@media (max-width: 900px) {
+    .brand-school, .header-user { display: none; }
+}
+@media (max-width: 720px) {
+    .app-header {
+        height: auto;
+        grid-template-columns: 1fr auto;
+        grid-template-areas: "left right" "title title";
+        padding: 10px 16px;
+        row-gap: 8px;
+    }
+    .header-left  { grid-area: left; }
+    .header-right { grid-area: right; }
+    .page-title   { grid-area: title; font-size: 18px; text-align: left; }
+    .brand-name   { display: none; }
+    .app-main     { padding: 20px 16px 32px; }
+    .card, .tab-content { padding: 18px; }
+    .modal-content { padding: 20px; }
+}
+
+/* ---------- 18. Print ---------- */
+@media print {
+    .app-header, .app-footer, .page-head .actions, .search-bar, .column-toggles { display: none !important; }
+    body { background: #fff; }
+    .card { box-shadow: none; border: 0; padding: 0; }
+}
+
+/* Keuze aantal rijen per pagina (perPaginaKiezer) */
+.per-pagina { display: inline-flex; align-items: center; gap: 6px; font-size: .85rem; color: var(--text-muted); margin: 0; font-weight: 400; white-space: nowrap; }
+.per-pagina select { width: auto; padding: 4px 8px; font-size: .85rem; }
diff --git a/static/img/go-logo.png b/static/img/go-logo.png
new file mode 100644
index 0000000..e3c6614
Binary files /dev/null and b/static/img/go-logo.png differ
diff --git a/static/pivot_logo.png b/static/pivot_logo.png
new file mode 100644
index 0000000..124c212
Binary files /dev/null and b/static/pivot_logo.png differ
diff --git a/static/pivot_mark.png b/static/pivot_mark.png
new file mode 100644
index 0000000..611929f
Binary files /dev/null and b/static/pivot_mark.png differ
diff --git a/templates/CO2_sensor.html b/templates/CO2_sensor.html
new file mode 100644
index 0000000..6c80d14
--- /dev/null
+++ b/templates/CO2_sensor.html
@@ -0,0 +1,126 @@
+{% extends "base.html" %}
+
+{% block title %}CO2-sensoren{% endblock %}
+{% block page_title %}CO2-sensoren{% endblock %}
+{% block main_class %}medium{% endblock %}
+{% block loader_text %}Netwerk wordt gescand...{% endblock %}
+{% block loader_sub %}<div class="loader-sub">Dit kan tot 60 seconden duren. Even geduld a.u.b.</div>{% endblock %}
+
+{% block extra_css %}
+<style>
+    .settings-row { display: flex; flex-wrap: wrap; gap: 12px 32px; padding: 14px 16px; margin-bottom: 18px;
+                    background: var(--surface-muted); border: 1px solid var(--border); border-radius: var(--radius); }
+    .setting { display: flex; align-items: center; gap: 10px; }
+    .status-label { font-weight: 700; min-width: 28px; color: var(--text-muted); }
+    .ppm { font-variant-numeric: tabular-nums; font-weight: 600; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>🌬️ Actuele CO2-metingen per lokaal</h2>
+        <div class="actions">
+            <a href="{{ url_for('co2_sensor.scan_co2') }}" class="btn btn-success" onclick="showLoader()">🔍 Handmatige scan</a>
+        </div>
+    </div>
+
+    <div class="settings-row">
+        <div class="setting">
+            <label class="switch">
+                <input type="checkbox" id="continuousScanToggle" onchange="handleToggle(this)">
+                <span class="slider"></span>
+            </label>
+            <span>Continu scannen</span>
+            <span id="status-text" class="status-label">Uit</span>
+        </div>
+        <div class="setting">
+            <label class="switch">
+                <input type="checkbox" id="autoDeleteToggle" onchange="handleDeleteToggle(this)">
+                <span class="slider"></span>
+            </label>
+            <span>Resultaten ouder dan 7 dagen automatisch verwijderen</span>
+            <span id="delete-status-text" class="status-label">Uit</span>
+        </div>
+    </div>
+
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr>
+                    <th>Lokaal</th>
+                    <th>CO2</th>
+                    <th>Status</th>
+                    <th class="actions">Actie</th>
+                </tr>
+            </thead>
+            <tbody>
+                {% for row in sensors %}
+                <tr>
+                    <td><strong>{{ row.lokaal }}</strong></td>
+                    <td class="ppm">{{ row.ppm }} ppm</td>
+                    <td>
+                        {% if row.ppm < 800 %}<span class="badge badge-success">Goed</span>
+                        {% elif row.ppm < 1200 %}<span class="badge badge-warning">Ventileren</span>
+                        {% else %}<span class="badge badge-danger">Kritiek</span>
+                        {% endif %}
+                    </td>
+                    <td class="actions">
+                        <a href="{{ url_for('co2_sensor.grafiek', lokaal=row.lokaal) }}" class="btn btn-sm">📊 Grafiek</a>
+                    </td>
+                </tr>
+                {% else %}
+                <tr class="empty-row"><td colspan="4">Nog geen metingen. Start een handmatige scan.</td></tr>
+                {% endfor %}
+            </tbody>
+        </table>
+    </div>
+</div>
+{% endblock %}
+
+{% block footer %}
+<footer class="app-footer">{{ school_name_short }} – PIVOT – Versie {{ version }} – CO2-monitor</footer>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    function setLabel(id, active) {
+        const el = document.getElementById(id);
+        if (!el) return;
+        el.innerText = active ? "Aan" : "Uit";
+        el.style.color = active ? "var(--success)" : "var(--text-muted)";
+    }
+    function updateUI(active)       { setLabel('status-text', active); }
+    function updateDeleteUI(active) { setLabel('delete-status-text', active); }
+
+    document.addEventListener('DOMContentLoaded', function () {
+        fetch("{{ url_for('co2_sensor.get_scan_status') }}")
+            .then(r => r.json())
+            .then(data => {
+                document.getElementById('continuousScanToggle').checked = data.active;
+                updateUI(data.active);
+            });
+        fetch("{{ url_for('co2_sensor.get_cleanup_status') }}")
+            .then(r => r.json())
+            .then(data => {
+                document.getElementById('autoDeleteToggle').checked = data.active;
+                updateDeleteUI(data.active);
+            });
+    });
+
+    function postToggle(url, checkbox, updateFn) {
+        const isActive = checkbox.checked;
+        fetch(url, {
+            method: 'POST',
+            headers: { 'Content-Type': 'application/json' },
+            body: JSON.stringify({ active: isActive })
+        })
+        .then(r => { if (!r.ok) throw new Error('Server error'); return r.json(); })
+        .then(data => { updateFn(data.active); checkbox.checked = data.active; })
+        .catch(err => { console.error(err); checkbox.checked = !isActive; updateFn(!isActive); });
+    }
+
+    function handleToggle(checkbox)       { postToggle("{{ url_for('co2_sensor.toggle_continuous_scan') }}", checkbox, updateUI); }
+    function handleDeleteToggle(checkbox) { postToggle("{{ url_for('co2_sensor.toggle_auto_delete') }}", checkbox, updateDeleteUI); }
+</script>
+{% endblock %}
diff --git a/templates/Inventaris_Leerlingen.html b/templates/Inventaris_Leerlingen.html
new file mode 100644
index 0000000..5b5a27d
--- /dev/null
+++ b/templates/Inventaris_Leerlingen.html
@@ -0,0 +1,153 @@
+{% extends "base.html" %}
+
+{% block title %}Leerlingenbeheer{% endblock %}
+{% block page_title %}Leerlingenbeheer{% endblock %}
+{% block main_class %}wide{% endblock %}
+{% block extra_css %}
+<style>
+    /* Bewerken-knop altijd zichtbaar: laatste kolom blijft rechts staan bij horizontaal scrollen */
+    .lln-tabel td.actions, .lln-tabel th.actions {
+        position: sticky; right: 0; background: #fff; white-space: nowrap;
+        box-shadow: -6px 0 6px -6px rgba(15, 23, 42, .15);
+    }
+    .lln-tabel th.actions { background: var(--surface-muted); }
+    .lln-tabel td { font-size: 14px; }
+    .lln-tabel td.nowrap { white-space: nowrap; }
+    .lln-tabel tr.vertrokken td:not(.actions) { color: var(--text-muted, #64748b); }
+</style>
+{% endblock %}
+{% block loader_text %}Synchroniseren met Informat &amp; Smartschool... Even geduld.{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>👥 Leerlingen</h2>
+        <div class="actions">
+            <button type="button" class="btn-success" onclick="openAddModal()">➕ Leerling toevoegen</button>
+            <form action="{{ url_for('students.sync_informat') }}" method="POST" style="margin:0" onsubmit="showLoader()">
+                <button type="submit" class="btn-secondary">🔄 Informat &amp; SS sync</button>
+            </form>
+        </div>
+    </div>
+
+    <form class="search-bar" method="POST" action="{{ url_for('students.inventaris_leerlingen') }}">
+        <input type="text" name="query" placeholder="Zoek op naam of internnummer..." value="{{ query or '' }}">
+        {% if toon_vertrokken %}<input type="hidden" name="vertrokken" value="1">{% endif %}
+        <button type="submit" class="btn-search">🔍 Zoeken</button>
+        {% if query %}
+            <a href="{{ url_for('students.inventaris_leerlingen', vertrokken='1' if toon_vertrokken else None) }}" class="btn btn-light">✕ Wissen</a>
+        {% endif %}
+    </form>
+    {% if aantal_vertrokken %}
+    <p class="muted small" style="margin:-4px 0 12px">
+        {% if toon_vertrokken %}Vertrokken leerlingen worden getoond ({{ aantal_vertrokken }}).
+            <a href="{{ url_for('students.inventaris_leerlingen', query=query or None) }}">Verbergen</a>
+        {% else %}{{ aantal_vertrokken }} leerling{{ 'en' if aantal_vertrokken != 1 }} niet meer actief in Informat (vertrokken) verborgen.
+            <a href="{{ url_for('students.inventaris_leerlingen', vertrokken='1', query=query or None) }}">Toon ook vertrokken leerlingen</a>{% endif %}
+    </p>
+    {% endif %}
+
+    <div class="table-wrap">
+        <table class="lln-tabel">
+            <thead>
+                <tr>
+                    <th>Internnummer</th>
+                    <th>Gebruikersnaam</th>
+                    <th>Voornaam</th>
+                    <th>Naam</th>
+                    <th>Smartschool nr.</th>
+                    <th>Google e-mailadres</th>
+                    <th>Schooljaar</th>
+                    <th class="actions">Acties</th>
+                </tr>
+            </thead>
+            <tbody>
+                {% if results %}
+                    {% for row in results %}
+                    <tr{% if row['Vertrokken_op'] %} class="vertrokken"{% endif %}>
+                        <td><strong>{{ row['Internnummer'] }}</strong>{% if row['Vertrokken_op'] %}
+                            <span class="badge badge-warning" title="Niet meer actief in Informat sinds {{ row['Vertrokken_op'].strftime('%d-%m-%Y') }}">vertrokken</span>{% endif %}</td>
+                        <td>{{ row['Gebruikersnaam'] or '' }}</td>
+                        <td>{{ row['Voornaam'] or '' }}</td>
+                        <td>{{ row['Naam'] or '' }}</td>
+                        <td class="nowrap">{{ row['SS_nummer'] or '' }}</td>
+                        <td>{{ row['Google_adres'] or '' }}</td>
+                        <td class="nowrap">{{ row['Schooljaar'] or '' }}</td>
+                        <td class="actions">
+                            <button type="button" class="btn-bewerk btn-sm"
+                                    data-intern="{{ row['Internnummer'] }}"
+                                    data-gebruikersnaam="{{ row['Gebruikersnaam'] or '' }}"
+                                    data-voornaam="{{ row['Voornaam'] or '' }}"
+                                    data-naam="{{ row['Naam'] or '' }}"
+                                    data-ss="{{ row['SS_nummer'] or '' }}"
+                                    data-google="{{ row['Google_adres'] or '' }}"
+                                    onclick="openEditModalFromButton(this)">✏️ Bewerken</button>
+                        </td>
+                    </tr>
+                    {% endfor %}
+                {% else %}
+                    <tr class="empty-row"><td colspan="8">Geen leerlingen gevonden in de database.</td></tr>
+                {% endif %}
+            </tbody>
+        </table>
+    </div>
+</div>
+{% endblock %}
+
+{% block modals %}
+<div id="addStudentModal" class="modal">
+    <div class="modal-content">
+        <span class="close" onclick="closeAddModal()">&times;</span>
+        <h3>Leerling handmatig toevoegen</h3>
+        <form action="{{ url_for('students.registreer_leerling') }}" method="POST">
+            <div class="field"><label>Internnummer</label><input type="text" name="inter_id" required></div>
+            <div class="field"><label>Gebruikersnaam</label><input type="text" name="gebruikersnaam" required></div>
+            <div class="field"><label>Voornaam</label><input type="text" name="voornaam"></div>
+            <div class="field"><label>Naam</label><input type="text" name="naam"></div>
+            <div class="field"><label>Smartschool nummer</label><input type="text" name="ss_nummer"></div>
+            <div class="field"><label>Google adres</label><input type="email" name="google_adres"></div>
+            <button type="submit" class="btn-block btn-success">💾 Opslaan</button>
+        </form>
+    </div>
+</div>
+
+<div id="editModal" class="modal">
+    <div class="modal-content">
+        <span class="close" onclick="closeModal()">&times;</span>
+        <h3>Leerling bewerken</h3>
+        <form action="{{ url_for('students.bewerk_gebruiker') }}" method="POST">
+            <div class="field"><label>Internnummer (ID)</label><input type="text" id="edit_internnummer" name="internnummer" readonly></div>
+            <div class="field"><label>Gebruikersnaam</label><input type="text" id="edit_gebruikersnaam" name="gebruikersnaam"></div>
+            <div class="field"><label>Voornaam</label><input type="text" id="edit_voornaam" name="voornaam"></div>
+            <div class="field"><label>Naam</label><input type="text" id="edit_naam" name="naam"></div>
+            <div class="field"><label>Smartschool nummer</label><input type="text" id="edit_ss_nummer" name="ss_nummer"></div>
+            <div class="field"><label>Google adres</label><input type="email" id="edit_google_adres" name="google_adres"></div>
+            <button type="submit" class="btn-block">💾 Wijzigingen opslaan</button>
+        </form>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    function openAddModal()  { document.getElementById('addStudentModal').style.display = 'block'; }
+    function closeAddModal() { document.getElementById('addStudentModal').style.display = 'none'; }
+
+    function openEditModalFromButton(btn) {
+        document.getElementById('edit_internnummer').value = btn.getAttribute('data-intern') || '';
+        document.getElementById('edit_gebruikersnaam').value = btn.getAttribute('data-gebruikersnaam') || '';
+        document.getElementById('edit_voornaam').value = btn.getAttribute('data-voornaam') || '';
+        document.getElementById('edit_naam').value = btn.getAttribute('data-naam') || '';
+        document.getElementById('edit_ss_nummer').value = btn.getAttribute('data-ss') || '';
+        document.getElementById('edit_google_adres').value = btn.getAttribute('data-google') || '';
+        document.getElementById('editModal').style.display = 'block';
+    }
+
+    function closeModal() { document.getElementById('editModal').style.display = 'none'; }
+
+    window.onclick = function (event) {
+        if (event.target == document.getElementById('editModal')) closeModal();
+        if (event.target == document.getElementById('addStudentModal')) closeAddModal();
+    };
+</script>
+{% endblock %}
diff --git a/templates/_handleiding_stijl.html b/templates/_handleiding_stijl.html
new file mode 100644
index 0000000..cd75c8c
--- /dev/null
+++ b/templates/_handleiding_stijl.html
@@ -0,0 +1,30 @@
+<style>
+    /* Opmaak van de inhoud van een handleiding (lezen én editor) */
+    .hl-inhoud { line-height: 1.65; font-size: 15px; color: var(--text); max-width: 860px; }
+    .hl-inhoud h2 { font-size: 1.25rem; margin: 28px 0 10px; padding-bottom: 6px; border-bottom: 2px solid var(--primary-light);
+                    color: var(--primary-color); scroll-margin-top: 80px; }
+    .hl-inhoud h3 { font-size: 1.08rem; margin: 20px 0 8px; scroll-margin-top: 80px; }
+    .hl-inhoud h4 { font-size: 1rem; margin: 16px 0 6px; }
+    .hl-inhoud p { margin: 0 0 12px; }
+    .hl-inhoud ol, .hl-inhoud ul { margin: 0 0 14px; padding-left: 26px; }
+    .hl-inhoud li { margin: 4px 0; }
+    .hl-inhoud ol > li::marker { font-weight: 700; color: var(--primary-color); }
+    .hl-inhoud code, .hl-inhoud kbd { background: var(--surface-muted); border: 1px solid var(--border); border-radius: 4px;
+                                       padding: 1px 5px; font-size: .88em; word-break: break-all; }
+    .hl-inhoud pre { background: #0f172a; color: #e2e8f0; padding: 12px 14px; border-radius: 8px; overflow-x: auto;
+                     white-space: pre-wrap; word-break: break-all; }
+    .hl-inhoud pre code { background: none; border: 0; color: inherit; padding: 0; }
+    .hl-inhoud img { max-width: 100%; height: auto; border: 1px solid var(--border); border-radius: 8px; margin: 6px 0;
+                     box-shadow: var(--shadow-sm); }
+    .hl-inhoud a { color: var(--primary-color); }
+    .hl-inhoud blockquote { margin: 0 0 12px; padding: 6px 14px; border-left: 4px solid var(--border-strong); color: var(--text-muted); }
+    .hl-inhoud table { border-collapse: collapse; width: 100%; margin: 0 0 16px; font-size: .93em; }
+    .hl-inhoud th, .hl-inhoud td { border: 1px solid var(--border); padding: 8px 10px; text-align: left; vertical-align: top; }
+    .hl-inhoud th { background: var(--surface-muted); }
+    .hl-inhoud mark { background: #fef08a; padding: 0 2px; }
+    .hl-inhoud .tip, .hl-inhoud .let-op, .hl-inhoud .info { padding: 10px 14px; border-radius: 8px; margin: 0 0 14px; border-left: 4px solid; }
+    .hl-inhoud .tip { background: var(--success-bg); border-color: var(--success); color: var(--success-text); }
+    .hl-inhoud .let-op { background: var(--warning-bg); border-color: var(--warning); color: var(--warning-text); }
+    .hl-inhoud .info { background: var(--info-bg); border-color: var(--info); color: var(--info-text); }
+    .hl-inhoud .tip > :last-child, .hl-inhoud .let-op > :last-child, .hl-inhoud .info > :last-child { margin-bottom: 0; }
+</style>
diff --git a/templates/_personeel.html b/templates/_personeel.html
new file mode 100644
index 0000000..1d3acc0
--- /dev/null
+++ b/templates/_personeel.html
@@ -0,0 +1,32 @@
+{# Gedeelde stukjes voor de personeelsmodule #}
+
+{% macro status_badge(status) -%}
+    {%- set s = STATUS.get(status, (status, '')) -%}
+    <span class="badge {{ 'badge-' ~ s[1] if s[1] else '' }}">{{ s[0] }}</span>
+{%- endmacro %}
+
+{% macro soort_label(soort) -%}
+    {%- set s = SOORTEN.get(soort) -%}{{ s.icoon }} {{ s.label }}
+{%- endmacro %}
+
+{% macro periode(i) -%}
+    {%- if i.Van_datum == i.Tot_datum -%}
+        {{ ['ma','di','wo','do','vr','za','zo'][i.Van_datum.weekday()] }} {{ i.Van_datum.strftime('%d/%m/%Y') }}
+    {%- else -%}
+        {{ i.Van_datum.strftime('%d/%m') }} – {{ i.Tot_datum.strftime('%d/%m/%Y') }}
+    {%- endif -%}
+    <span class="muted"> · {{ DAGDELEN.get(i.Dagdeel, '') }}{% if i.Dagdeel == 'uren' and i.Lesuren %} ({{ i.Lesuren }}){% endif %}</span>
+{%- endmacro %}
+
+{% macro subnav(actief) %}
+<div class="tabs" style="margin-bottom: 18px;">
+    <a class="tab-link {{ 'active' if actief == 'mijn' }}" href="{{ url_for('personeel.mijn') }}" style="text-decoration:none">📋 Mijn aanvragen</a>
+    {% if 'directie' in p_rollen %}
+    <a class="tab-link {{ 'active' if actief == 'beoordelen' }}" href="{{ url_for('personeel.beoordelen') }}" style="text-decoration:none">
+        ✅ Te beoordelen{% if p_te_beoordelen %} <span class="badge badge-warning">{{ p_te_beoordelen }}</span>{% endif %}</a>
+    {% endif %}
+    {% if 'secretariaat' in p_rollen %}
+    <a class="tab-link {{ 'active' if actief == 'dagoverzicht' }}" href="{{ url_for('personeel.dagoverzicht') }}" style="text-decoration:none">🗓️ Dagoverzicht</a>
+    {% endif %}
+</div>
+{% endmacro %}
diff --git a/templates/_toestel_zoekveld.html b/templates/_toestel_zoekveld.html
new file mode 100644
index 0000000..49cb33c
--- /dev/null
+++ b/templates/_toestel_zoekveld.html
@@ -0,0 +1,90 @@
+{# Zoekvelden met suggesties voor uitdelen / inleveren:
+   - Internnummer (<input id="internnummer"> + <ul id="leerlingSuggesties">): zoeken op internnummer of naam
+   - Toestelnummer (<input id="serienummer"> + <ul id="toestelSuggesties">): zoeken op toestel- of serienummer
+   Opties: toestel_voorkeur = 'beschikbaar' | 'uitgeleend' (die eerst tonen),
+           toestel_vul_intern = bij inleveren het andere veld automatisch invullen. #}
+<style>
+    .zoek-wrap { position: relative; }
+    .suggesties { display: none; position: absolute; left: 0; right: 0; top: 100%; z-index: 20; margin: 2px 0 0; padding: 4px;
+                  list-style: none; background: var(--surface); border: 1px solid var(--border-strong); border-radius: var(--radius);
+                  box-shadow: var(--shadow-lg); max-height: 320px; overflow-y: auto; }
+    .suggesties.open { display: block; }
+    .suggesties li { padding: 8px 10px; border-radius: 6px; cursor: pointer; display: flex; justify-content: space-between; gap: 10px; }
+    .suggesties li.actief, .suggesties li:hover { background: var(--primary-light); }
+    .suggesties .nr { font-weight: 700; }
+    .suggesties .sub { color: var(--text-muted); font-size: .85em; }
+    .suggesties .leeg { color: var(--text-muted); cursor: default; }
+</style>
+<script>
+    const zoekEsc = t => String(t ?? '').replace(/[&<>"']/g, c => ({'&':'&amp;','<':'&lt;','>':'&gt;','"':'&quot;',"'":'&#39;'}[c]));
+    function zoekFlits(el) { el.style.backgroundColor = '#d1fae5'; setTimeout(() => el.style.backgroundColor = '', 600); }
+
+    // Algemeen zoekveld met suggestielijst (pijltjes, Enter, Escape, muis). Enter zonder keuze = gewoon indienen (scanner).
+    function zoekveld({ veldId, lijstId, url, regel, kies, leeg }) {
+        const veld = document.getElementById(veldId), lijst = document.getElementById(lijstId);
+        if (!veld || !lijst) return;
+        let timer, items = [], actief = -1;
+        const sluit = () => { lijst.classList.remove('open'); veld.setAttribute('aria-expanded', 'false'); actief = -1; };
+        const neem = i => { const t = items[i]; if (!t) return; kies(t, veld); sluit(); };
+        const teken = () => {
+            lijst.innerHTML = items.length
+                ? items.map((t, i) => `<li role="option" data-i="${i}" class="${i === actief ? 'actief' : ''}">${regel(t)}</li>`).join('')
+                : `<li class="leeg">${leeg}</li>`;
+            lijst.classList.add('open'); veld.setAttribute('aria-expanded', 'true');
+        };
+        veld.addEventListener('input', () => {
+            clearTimeout(timer);
+            const q = veld.value.trim();
+            if (!q) { sluit(); return; }
+            timer = setTimeout(() => {
+                fetch(url + encodeURIComponent(q), { credentials: 'same-origin' })
+                    .then(r => r.json()).then(d => { items = d; actief = -1; teken(); }).catch(sluit);
+            }, 200);
+        });
+        veld.addEventListener('keydown', e => {
+            if (!lijst.classList.contains('open') || !items.length) return;
+            if (e.key === 'ArrowDown') { actief = (actief + 1) % items.length; teken(); e.preventDefault(); }
+            else if (e.key === 'ArrowUp') { actief = (actief - 1 + items.length) % items.length; teken(); e.preventDefault(); }
+            else if (e.key === 'Enter' && actief >= 0) { neem(actief); e.preventDefault(); }
+            else if (e.key === 'Escape') sluit();
+        });
+        lijst.addEventListener('mousedown', e => { const li = e.target.closest('li[data-i]'); if (li) { e.preventDefault(); neem(+li.dataset.i); } });
+        veld.addEventListener('blur', () => setTimeout(sluit, 150));
+    }
+
+    // Internnummer: zoeken op internnummer of naam; het internnummer komt in het veld
+    zoekveld({
+        veldId: 'internnummer', lijstId: 'leerlingSuggesties', leeg: 'Geen leerling gevonden',
+        url: "{{ url_for('devices.zoek_leerlingen') }}?q=",
+        regel: l => `<span><span class="nr">${zoekEsc(l.naam || '(geen naam)')}</span>
+                       <span class="sub"> · ${zoekEsc(l.intern)}${l.gebruiker ? ' · ' + zoekEsc(l.gebruiker) : ''}</span></span>
+                     <span class="sub">${l.toestellen ? '💻 ' + zoekEsc(l.toestellen) : 'geen toestel'}</span>`,
+        kies: (l, veld) => {
+            veld.value = l.intern;
+            {% if toestel_vul_intern %}
+            // Inleveren: het toestel van deze leerling meteen invullen (als het nog leeg is en hij er juist één heeft)
+            const toestel = document.getElementById('serienummer');
+            if (toestel && !toestel.value.trim() && l.toestellen && !l.toestellen.includes(',')) { toestel.value = l.toestellen; zoekFlits(toestel); }
+            {% endif %}
+            document.getElementById('serienummer')?.focus();
+        },
+    });
+
+    // Toestelnummer: zoeken op toestel- of serienummer
+    zoekveld({
+        veldId: 'serienummer', lijstId: 'toestelSuggesties', leeg: 'Geen toestel gevonden',
+        url: "{{ url_for('devices.zoek_toestellen') }}?voorkeur={{ toestel_voorkeur|default('') }}&q=",
+        regel: t => `<span><span class="nr">${zoekEsc(t.nummer || '(geen toestelnummer)')}</span>
+                       <span class="sub"> · ${zoekEsc(t.serie)}${t.type ? ' · ' + zoekEsc(t.type) : ''}</span></span>
+                     <span class="sub">${t.bij ? 'uitgeleend aan ' + zoekEsc(t.bij) : zoekEsc(t.status || 'Beschikbaar')}</span>`,
+        kies: (t, veld) => {
+            veld.value = t.nummer || t.serie;
+            {% if toestel_vul_intern %}
+            // Inleveren: internnummer van de leerling die het toestel heeft meteen invullen (als het nog leeg is)
+            const intern = document.getElementById('internnummer');
+            if (intern && !intern.value.trim() && t.bij) { intern.value = t.bij; zoekFlits(intern); }
+            {% endif %}
+            veld.focus();
+        },
+    });
+</script>
diff --git a/templates/aanwezigheden.html b/templates/aanwezigheden.html
new file mode 100644
index 0000000..ba6a599
--- /dev/null
+++ b/templates/aanwezigheden.html
@@ -0,0 +1,247 @@
+{% extends "base.html" %}
+
+{% block title %}Aanwezigheden internaat{% endblock %}
+{% block page_title %}Aanwezigheden internaat{% endblock %}
+{% block main_class %}wide{% endblock %}
+{% block loader_text %}Register laden...{% endblock %}
+
+{% block extra_css %}
+<style>
+    .weeknav { display: flex; align-items: center; gap: 8px; }
+    .weeknav .label { min-width: 150px; text-align: center; line-height: 1.2; }
+    .weeknav .label strong { display: block; }
+    .weeknav .label span { font-size: .8em; color: var(--text-muted, #64748b); }
+    .werkbalk { display: flex; flex-wrap: wrap; gap: 10px; align-items: center; justify-content: space-between; margin: 14px 0 12px; }
+    .werkbalk .links { display: flex; flex-wrap: wrap; gap: 8px; align-items: center; }
+    .werkbalk .links > * { flex: 0 0 auto; }
+    .werkbalk .links input#zoek { width: 220px !important; max-width: 220px; }
+    .werkbalk select { width: auto; min-width: 0; }
+    .legende { display: flex; gap: 14px; align-items: center; font-size: .85em; color: var(--text-muted, #64748b); }
+    .legende i { display: inline-block; width: 12px; height: 12px; border-radius: 3px; margin-right: 5px; vertical-align: -1px; }
+    .aw-wrap { overflow-x: auto; border: 1px solid var(--border); border-radius: var(--radius-lg, 12px); }
+    table.aw { border-collapse: collapse; width: 100%; min-width: 820px; font-size: 13px; }
+    table.aw th, table.aw td { border-bottom: 1px solid var(--border); padding: 0; }
+    table.aw th.naam, table.aw td.naam { position: sticky; left: 0; background: var(--surface, #fff); text-align: left;
+        padding: 9px 14px; min-width: 190px; width: 220px; z-index: 1; box-shadow: 1px 0 0 var(--border); }
+    table.aw thead th { background: var(--surface-muted); font-weight: 600; }
+    table.aw thead th.dag { text-align: center; padding: 8px 4px 2px; border-left: 1px solid var(--border); }
+    table.aw thead th.dag small { display: block; font-weight: 400; color: var(--text-muted, #64748b); font-size: .85em; }
+    table.aw thead th.sessie { text-align: center; font-size: 10px; color: var(--text-muted, #64748b); padding: 2px 0 6px; font-weight: 500; }
+    table.aw .vandaag { background: #fff7e6 !important; }
+    table.aw td.cel { text-align: center; padding: 5px 3px; border-left: 1px solid var(--border); }
+    table.aw td.cel + td.cel { border-left-style: dashed; }
+    td.naam strong { display: block; font-weight: 600; }
+    td.naam span { color: var(--text-muted, #64748b); font-size: .85em; }
+    button.st { all: unset; box-sizing: border-box; width: 30px; height: 30px; border-radius: 7px; cursor: pointer;
+        display: inline-grid; place-items: center; font-weight: 700; font-size: 15px; transition: background .12s;
+        background: #f1f5f9; border: 1px solid #cbd5e1; color: #94a3b8; }
+    button.st:focus-visible { outline: 2px solid var(--primary-color); outline-offset: 2px; }
+    button.st.aanwezig { background: #16a34a; border-color: transparent; color: #fff; }
+    button.st.afwezig { background: #dc2626; border-color: transparent; color: #fff; }
+    button.st.bezig { opacity: .5; }
+    @keyframes stempel { from { transform: scale(1.35); opacity: 0; } to { transform: scale(1); opacity: 1; } }
+    button.st span { display: inline-block; animation: stempel .16s ease-out; }
+    @media (prefers-reduced-motion: reduce) { button.st span { animation: none; } }
+    tr.groepkop td { background: var(--surface-muted); padding: 0; }
+    tr.groepkop button { all: unset; box-sizing: border-box; width: 100%; display: flex; gap: 10px; align-items: center;
+        padding: 9px 14px; cursor: pointer; font-weight: 700; }
+    tr.groepkop button:focus-visible { outline: 2px solid var(--primary-color); outline-offset: -2px; }
+    tr.groepkop .pijl { display: inline-block; transition: transform .12s; font-size: .8em; }
+    tbody.dicht tr.groepkop .pijl { transform: rotate(-90deg); }
+    tbody.dicht tr.lid { display: none; }
+    tr.groepkop .aantal { font-weight: 400; color: var(--text-muted, #64748b); font-size: .88em; }
+    tr.groepkop .mini { margin-left: auto; font-weight: 400; font-size: .85em; color: var(--text-muted, #64748b); }
+    .mini b.g, .samenvatting b.g { color: #15803d; }
+    .mini b.r, .samenvatting b.r { color: #b91c1c; }
+    .samenvatting { display: flex; flex-wrap: wrap; gap: 18px; align-items: center; margin-top: 12px; font-size: .92em; }
+    #bewaard { color: #15803d; font-size: .85em; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>✅ Aanwezigheden · {{ school_naam }}</h2>
+        <div class="weeknav">
+            <a class="btn btn-light btn-sm" href="{{ url_for('internaat.aanwezigheden', week=vorige.isoformat()) }}" onclick="showLoader()" aria-label="Vorige week">←</a>
+            <div class="label">
+                <strong>{{ dagen[0].day }} {{ ['jan','feb','mrt','apr','mei','jun','jul','aug','sep','okt','nov','dec'][dagen[0].month - 1] }} –
+                    {{ dagen[6].day }} {{ ['jan','feb','mrt','apr','mei','jun','jul','aug','sep','okt','nov','dec'][dagen[6].month - 1] }}</strong>
+                <span>{{ 'Deze week' if dagen[0] <= vandaag <= dagen[6] else 'Week ' ~ weeknr }}</span>
+            </div>
+            <a class="btn btn-light btn-sm" href="{{ url_for('internaat.aanwezigheden', week=volgende.isoformat()) }}" onclick="showLoader()" aria-label="Volgende week">→</a>
+            {% if not (dagen[0] <= vandaag <= dagen[6]) %}
+            <a class="btn btn-secondary btn-sm" href="{{ url_for('internaat.aanwezigheden') }}" onclick="showLoader()">Vandaag</a>
+            {% endif %}
+        </div>
+    </div>
+
+    {% if fout %}
+        <div class="alert alert-danger">{{ fout }}</div>
+    {% elif not groepen %}
+        <p class="muted">Er zijn deze week geen internen ingeschreven in Informat.</p>
+    {% else %}
+    <div class="werkbalk">
+        <div class="links">
+            <input type="search" id="zoek" placeholder="Zoek een intern..." aria-label="Zoek een intern">
+            {% if groepen|length > 1 %}
+            <select id="groepFilter" aria-label="Groep">
+                <option value="">Alle groepen</option>
+                {% for g in groepen %}<option>{{ g }}</option>{% endfor %}
+            </select>
+            <button type="button" class="btn-light btn-sm" id="allesKlappen">Alles inklappen</button>
+            {% endif %}
+            <a class="btn btn-light btn-sm" id="exportKnop" href="{{ url_for('internaat.aanwezigheden_export', week=maandag.isoformat()) }}">⬇️ Excel</a>
+        </div>
+        <div class="legende">
+            <span><i style="background:#16a34a"></i>Aanwezig</span>
+            <span><i style="background:#dc2626"></i>Afwezig</span>
+            <span><i style="background:#f1f5f9;border:1px solid #cbd5e1"></i>Nog niet gecontroleerd</span>
+        </div>
+    </div>
+
+    <div class="aw-wrap">
+        <table class="aw">
+            <thead>
+                <tr>
+                    <th class="naam" rowspan="2">Intern</th>
+                    {% for d in dagen %}
+                    <th class="dag {{ 'vandaag' if d == vandaag }}" colspan="2">{{ dagnamen[loop.index0] }}<small>{{ d.strftime('%d/%m') }}</small></th>
+                    {% endfor %}
+                </tr>
+                <tr>
+                    {% for d in dagen %}
+                    <th class="sessie {{ 'vandaag' if d == vandaag }}" title="Ochtend">O</th>
+                    <th class="sessie {{ 'vandaag' if d == vandaag }}" title="Avond">A</th>
+                    {% endfor %}
+                </tr>
+            </thead>
+            {% for groep, leden in groepen.items() %}
+            <tbody class="groep" data-groep="{{ groep }}">
+                <tr class="groepkop"><td colspan="15">
+                    <button type="button" aria-expanded="true"><span class="pijl">▾</span> {{ groep }}
+                        <span class="aantal">{{ leden|length }} intern{{ 'en' if leden|length != 1 }}</span>
+                        <span class="mini"></span></button>
+                </td></tr>
+                {% for r in leden %}
+                <tr class="lid" data-zoek="{{ (r.naam ~ ' ' ~ r.voornaam ~ ' ' ~ r.voornaam ~ ' ' ~ r.naam)|lower }}">
+                    <td class="naam"><strong>{{ r.naam }} {{ r.voornaam }}</strong><span>{{ r.kamer or r.vestiging }}</span></td>
+                    {% for d in dagen %}{% set i = loop.index0 %}
+                    {% for m in ('ochtend', 'avond') %}
+                    {% set st = data.get(r.pid ~ ':' ~ i ~ ':' ~ m, 'leeg') %}
+                    <td class="cel {{ 'vandaag' if d == vandaag }}">
+                        <button type="button" class="st {{ st }}" data-status="{{ st }}" data-datum="{{ d.isoformat() }}"
+                                data-persoon="{{ r.pid }}" data-moment="{{ m }}" data-naam="{{ r.naam }} {{ r.voornaam }}"
+                                aria-label="{{ r.voornaam }} {{ r.naam }}, {{ dagnamen_voluit[i] }} {{ m }}: {{ {'aanwezig': 'aanwezig', 'afwezig': 'afwezig'}.get(st, 'nog niet gecontroleerd') }}. Klik om te wijzigen."><span>{{ {'aanwezig': '✓', 'afwezig': '✕'}.get(st, '·') }}</span></button>
+                    </td>
+                    {% endfor %}{% endfor %}
+                </tr>
+                {% endfor %}
+            </tbody>
+            {% endfor %}
+        </table>
+    </div>
+
+    <div class="samenvatting" aria-live="polite">
+        <span><b class="g" id="sAanwezig">0</b> aanwezig</span>
+        <span><b class="r" id="sAfwezig">0</b> afwezig</span>
+        <span><b id="sLeeg">0</b> nog te controleren</span>
+        <span id="bewaard"></span>
+    </div>
+    <p class="muted small" style="margin-top:12px">Klik op een vakje om te wisselen: nog niet gecontroleerd → aanwezig → afwezig.
+        Alles wordt meteen bewaard en is zichtbaar voor alle collega's met dit recht. De internen komen uit Informat.</p>
+    {% endif %}
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    (function () {
+        const tabel = document.querySelector('table.aw');
+        if (!tabel) return;
+        const VOLGORDE = ['leeg', 'aanwezig', 'afwezig'], TEKEN = { leeg: '·', aanwezig: '✓', afwezig: '✕' };
+        const LABEL = { leeg: 'nog niet gecontroleerd', aanwezig: 'aanwezig', afwezig: 'afwezig' };
+        const zoekveld = document.getElementById('zoek'), groepSel = document.getElementById('groepFilter');
+        const exp = document.getElementById('exportKnop'), basisExport = exp.href;
+        let zoek = '', groep = '', bewaardTimer = null;
+        const SLEUTEL = 'aw-dicht';
+        let dicht = {};
+        try { dicht = JSON.parse(localStorage.getItem(SLEUTEL) || '{}'); } catch (e) {}
+
+        function tel(knoppen) {
+            const t = { aanwezig: 0, afwezig: 0, leeg: 0 };
+            knoppen.forEach(b => t[b.dataset.status]++);
+            return t;
+        }
+        function zichtbareRijen(tbody) {
+            return Array.from(tbody.querySelectorAll('tr.lid')).filter(tr => tr.style.display !== 'none');
+        }
+        function herteken() {
+            let alles = [];
+            document.querySelectorAll('tbody.groep').forEach(tb => {
+                const toon = !groep || tb.dataset.groep === groep;
+                let zichtbaar = 0;
+                tb.querySelectorAll('tr.lid').forEach(tr => {
+                    const ok = toon && (!zoek || tr.dataset.zoek.includes(zoek));
+                    tr.style.display = ok ? '' : 'none';
+                    if (ok) zichtbaar++;
+                });
+                tb.style.display = toon && zichtbaar ? '' : 'none';
+                tb.classList.toggle('dicht', !!dicht[tb.dataset.groep] && !zoek);
+                tb.querySelector('tr.groepkop button').setAttribute('aria-expanded', String(!tb.classList.contains('dicht')));
+                const knoppen = zichtbareRijen(tb).flatMap(tr => Array.from(tr.querySelectorAll('button.st')));
+                const t = tel(knoppen);
+                tb.querySelector('.mini').innerHTML = `<b class="g">${t.aanwezig}</b> · <b class="r">${t.afwezig}</b> · <b>${t.leeg}</b>`;
+                alles = alles.concat(knoppen);
+            });
+            const t = tel(alles);
+            document.getElementById('sAanwezig').textContent = t.aanwezig;
+            document.getElementById('sAfwezig').textContent = t.afwezig;
+            document.getElementById('sLeeg').textContent = t.leeg;
+            const u = new URL(basisExport);
+            if (groep) u.searchParams.set('groep', groep); if (zoek) u.searchParams.set('zoek', zoek);
+            exp.href = u.toString();
+            const ak = document.getElementById('allesKlappen');
+            if (ak) ak.textContent = Array.from(document.querySelectorAll('tbody.groep')).every(tb => dicht[tb.dataset.groep]) ? 'Alles uitklappen' : 'Alles inklappen';
+        }
+        function bewaarDicht() { try { localStorage.setItem(SLEUTEL, JSON.stringify(dicht)); } catch (e) {} }
+
+        tabel.addEventListener('click', e => {
+            const kop = e.target.closest('tr.groepkop button');
+            if (kop) {
+                const g = kop.closest('tbody').dataset.groep;
+                dicht[g] = !dicht[g]; bewaarDicht(); herteken();
+                return;
+            }
+            const b = e.target.closest('button.st');
+            if (!b || b.classList.contains('bezig')) return;
+            const oud = b.dataset.status, nieuw = VOLGORDE[(VOLGORDE.indexOf(oud) + 1) % VOLGORDE.length];
+            const zet = st => {
+                b.dataset.status = st; b.className = 'st ' + st;
+                b.innerHTML = `<span>${TEKEN[st]}</span>`;
+                b.setAttribute('aria-label', b.getAttribute('aria-label').replace(/: [^:.]+\. Klik/, `: ${LABEL[st]}. Klik`));
+            };
+            zet(nieuw); b.classList.add('bezig'); herteken();
+            fetch({{ url_for('internaat.aanwezigheid_zet')|tojson }}, {
+                method: 'POST', credentials: 'same-origin', headers: { 'Content-Type': 'application/json' },
+                body: JSON.stringify({ datum: b.dataset.datum, persoon: b.dataset.persoon, moment: b.dataset.moment, status: nieuw, naam: b.dataset.naam })
+            }).then(r => r.json()).then(res => {
+                b.classList.remove('bezig');
+                if (!res.ok) { zet(oud); herteken(); alert(res.fout || 'Bewaren mislukt.'); return; }
+                const n = document.getElementById('bewaard'); n.textContent = 'Opgeslagen';
+                clearTimeout(bewaardTimer); bewaardTimer = setTimeout(() => n.textContent = '', 1200);
+            }).catch(() => { b.classList.remove('bezig'); zet(oud); herteken(); alert('Bewaren mislukt: geen verbinding met PIVOT.'); });
+        });
+        zoekveld.addEventListener('input', () => { zoek = zoekveld.value.trim().toLowerCase(); herteken(); });
+        if (groepSel) groepSel.addEventListener('change', () => { groep = groepSel.value; herteken(); });
+        const ak = document.getElementById('allesKlappen');
+        if (ak) ak.addEventListener('click', () => {
+            const tbs = Array.from(document.querySelectorAll('tbody.groep'));
+            const allesDicht = tbs.every(tb => dicht[tb.dataset.groep]);
+            tbs.forEach(tb => dicht[tb.dataset.groep] = !allesDicht);
+            bewaarDicht(); herteken();
+        });
+        herteken();
+    })();
+</script>
+{% endblock %}
diff --git a/templates/admin_accounts.html b/templates/admin_accounts.html
new file mode 100644
index 0000000..7b19cef
--- /dev/null
+++ b/templates/admin_accounts.html
@@ -0,0 +1,143 @@
+{% extends "base.html" %}
+
+{% block title %}Gebruikers & rechten{% endblock %}
+{% block page_title %}Gebruikers &amp; rechten{% endblock %}
+
+{% block extra_css %}
+<style>
+    .school-chip { display: inline-block; margin: 2px 4px 2px 0; }
+    .user-row-inactief td { opacity: .55; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>🔧 PIVOT-gebruikers</h2>
+        <div class="actions">
+            <button type="button" class="btn-success" onclick="openModal()">➕ Nieuwe gebruiker</button>
+        </div>
+    </div>
+    <p class="muted">Eén account per persoon, voor alle scholen. Per school vink je aan op welke onderdelen iemand rechten heeft.
+        {% if is_admin %}Een <strong>administrator</strong> heeft altijd alle rechten in alle scholen.{% endif %}</p>
+
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr>
+                    <th>Gebruiker</th>
+                    <th>Rol</th>
+                    <th>Rechten per school</th>
+                    <th>Laatste login</th>
+                    <th class="actions">Beheren</th>
+                </tr>
+            </thead>
+            <tbody>
+            {% for u in users %}
+                <tr class="{{ '' if u.Actief else 'user-row-inactief' }}">
+                    <td>
+                        <strong>{{ u.Gebruikersnaam }}</strong>
+                        {% if not u.Actief %}<span class="badge badge-warning">uitgeschakeld</span>{% endif %}
+                        {% if u.Emailadres %}<div class="muted small">{{ u.Emailadres }}</div>{% endif %}
+                    </td>
+                    <td><span class="badge {{ 'badge-danger' if u.Veiligheidsgroep == ADMIN else 'badge-info' }}">{{ u.Rol }}</span></td>
+                    <td>
+                        {% if u.Veiligheidsgroep == ADMIN %}
+                            <span class="muted small">Alle rechten in alle scholen</span>
+                        {% else %}
+                            {% for naam, n in u.scholen[:3] %}
+                            <span class="badge school-chip" title="{{ n }} van {{ totaal_onderdelen }} onderdelen">🏫 {{ naam }} · {{ n }}</span>
+                            {% else %}
+                            <span class="muted small">Nog geen rechten</span>
+                            {% endfor %}
+                            {% if u.scholen|length > 3 %}
+                            <a class="badge school-chip" href="{{ url_for('admin.gebruiker_rechten', gid=u.Gebruiker_ID) }}"
+                               title="{% for naam, n in u.scholen[3:] %}{{ naam }} · {{ n }}{% if not loop.last %}&#10;{% endif %}{% endfor %}">+{{ u.scholen|length - 3 }} scholen</a>
+                            {% endif %}
+                        {% endif %}
+                    </td>
+                    <td class="nowrap small">{{ u.Last_login.strftime('%d-%m-%Y %H:%M') if u.Last_login else '–' }}</td>
+                    <td class="actions">
+                        <div style="display:inline-flex;gap:6px;justify-content:flex-end;white-space:nowrap">
+                            {% if u.Veiligheidsgroep != ADMIN %}
+                            <a class="btn btn-sm btn-secondary" href="{{ url_for('admin.gebruiker_rechten', gid=u.Gebruiker_ID) }}">🔐 Rechten</a>
+                            {% endif %}
+                            <a class="btn btn-sm btn-warning" href="{{ url_for('admin.gebruiker', gid=u.Gebruiker_ID) }}">👤 Account</a>
+                        </div>
+                    </td>
+                </tr>
+            {% else %}
+                <tr class="empty-row"><td colspan="5">Nog geen gebruikers.</td></tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+</div>
+{% endblock %}
+
+{% block modals %}
+<div id="addUserModal" class="modal">
+    <div class="modal-content">
+        <span class="close" onclick="closeModal()">&times;</span>
+        <h3>Nieuwe gebruiker</h3>
+
+        <form method="POST" action="{{ url_for('admin.nieuw') }}">
+            <div class="field">
+                <label for="username">Gebruikersnaam</label>
+                <input type="text" id="username" name="username" placeholder="Bijv. jansen_j" required autocomplete="off">
+            </div>
+
+            <div class="field">
+                <label for="email">E-mailadres <span class="muted small">(optioneel – om met Google in te loggen)</span></label>
+                <input type="email" id="email" name="email" placeholder="voornaam.naam@school.be" autocomplete="off">
+            </div>
+
+            <div class="field">
+                <label for="password">Wachtwoord <span class="muted small">(leeg = enkel Google-login)</span></label>
+                <div class="password-wrap">
+                    <input type="password" id="password" name="password" placeholder="Minstens 8 tekens" autocomplete="new-password">
+                    <button type="button" class="password-toggle" onclick="togglePassword('password', this)">👁️</button>
+                </div>
+            </div>
+
+            <div class="field">
+                <label for="password_confirm">Wachtwoord bevestigen</label>
+                <div class="password-wrap">
+                    <input type="password" id="password_confirm" name="password_confirm" placeholder="Wachtwoord" autocomplete="new-password">
+                    <button type="button" class="password-toggle" onclick="togglePassword('password_confirm', this)">👁️</button>
+                </div>
+            </div>
+
+            {% if is_admin %}
+            <div class="field">
+                <label for="veiligheidsgroep">Rol</label>
+                <select id="veiligheidsgroep" name="veiligheidsgroep">
+                    {% for nr, naam in groepen.items() %}
+                    <option value="{{ nr }}" {% if nr != ADMIN %}selected{% endif %}>{{ naam }}</option>
+                    {% endfor %}
+                </select>
+                <div class="field-hint">Een gebruiker krijgt enkel de rechten die je daarna per school aanvinkt.</div>
+            </div>
+            {% endif %}
+
+            <button type="submit" class="btn-block btn-success">💾 Aanmaken en rechten instellen</button>
+        </form>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    var modal = document.getElementById("addUserModal");
+    function openModal()  { modal.style.display = "block"; }
+    function closeModal() { modal.style.display = "none"; }
+    window.onclick = function (event) { if (event.target == modal) closeModal(); };
+
+    function togglePassword(fieldId, button) {
+        var f = document.getElementById(fieldId);
+        f.type = f.type === "password" ? "text" : "password";
+        button.textContent = f.type === "password" ? "👁️" : "🙈";
+    }
+    {% if request.args.get('nieuw') %}openModal();{% endif %}
+</script>
+{% endblock %}
diff --git a/templates/admin_gebruiker.html b/templates/admin_gebruiker.html
new file mode 100644
index 0000000..abf94e7
--- /dev/null
+++ b/templates/admin_gebruiker.html
@@ -0,0 +1,75 @@
+{% extends "base.html" %}
+
+{% block title %}{{ u.Gebruikersnaam }} – account{% endblock %}
+{% block page_title %}Gebruiker: {{ u.Gebruikersnaam }}{% endblock %}
+
+{% block extra_css %}
+<style>
+    .account-grid { display: grid; grid-template-columns: repeat(auto-fit, minmax(220px, 1fr)); gap: 0 18px; }
+    .terug { margin-bottom: 14px; display: inline-block; }
+</style>
+{% endblock %}
+
+{% block content %}
+<a class="terug" href="{{ url_for('admin.settings') }}">← Alle gebruikers</a>
+
+{# ---------------- Account ---------------- #}
+<div class="card">
+    <div class="page-head">
+        <h2>👤 Account van {{ u.Gebruikersnaam }}</h2>
+        {% if u.Veiligheidsgroep != ADMIN %}
+        <a class="btn btn-sm btn-secondary" href="{{ url_for('admin.gebruiker_rechten', gid=u.Gebruiker_ID) }}">🔐 Rechten</a>
+        {% endif %}
+    </div>
+    <form method="POST" action="{{ url_for('admin.gebruiker', gid=u.Gebruiker_ID) }}" autocomplete="off">
+        <input type="hidden" name="actie" value="account">
+        <div class="account-grid">
+            <div class="field">
+                <label>Gebruikersnaam</label>
+                <input type="text" value="{{ u.Gebruikersnaam }}" disabled>
+            </div>
+            <div class="field">
+                <label for="email">E-mailadres (Google-login)</label>
+                <input type="email" id="email" name="email" value="{{ u.Emailadres or '' }}" placeholder="leeg = geen Google-login">
+            </div>
+            {% if is_admin %}
+            <div class="field">
+                <label for="veiligheidsgroep">Rol</label>
+                <select id="veiligheidsgroep" name="veiligheidsgroep" {% if zelf %}disabled{% endif %}>
+                    {% for nr, naam in groepen.items() %}
+                    <option value="{{ nr }}" {% if nr == u.Veiligheidsgroep %}selected{% endif %}>{{ naam }}</option>
+                    {% endfor %}
+                </select>
+                {% if zelf %}<input type="hidden" name="veiligheidsgroep" value="{{ u.Veiligheidsgroep }}">{% endif %}
+            </div>
+            {% endif %}
+            <div class="field">
+                <label for="new_password">Nieuw wachtwoord</label>
+                <input type="password" id="new_password" name="new_password" placeholder="leeg = ongewijzigd" autocomplete="new-password">
+                <div class="field-hint">Minstens {{ min_wachtwoord }} tekens.</div>
+            </div>
+            <div class="field">
+                <label for="new_password_confirm">Nieuw wachtwoord bevestigen</label>
+                <input type="password" id="new_password_confirm" name="new_password_confirm" autocomplete="new-password">
+            </div>
+            <div class="field">
+                <label>&nbsp;</label>
+                <label class="check-box"><input type="checkbox" name="actief" value="1" style="width:auto"
+                    {% if u.Actief %}checked{% endif %} {% if zelf %}disabled{% endif %}> Account is actief</label>
+                {% if zelf %}<input type="hidden" name="actief" value="1">{% endif %}
+            </div>
+        </div>
+        <div class="muted small" style="margin-bottom:12px">
+            Laatste login: {{ u.Last_login.strftime('%d-%m-%Y %H:%M') if u.Last_login else 'nog nooit' }}{% if u.IP_laatste_login %} vanaf {{ u.IP_laatste_login }}{% endif %}
+        </div>
+        <button type="submit" class="btn-warning">💾 Account opslaan</button>
+    </form>
+
+    {% if is_admin and not zelf %}
+    <form method="POST" action="{{ url_for('admin.verwijderen', gid=u.Gebruiker_ID) }}" style="margin-top:18px"
+          onsubmit="return confirm('Gebruiker {{ u.Gebruikersnaam }} en al zijn rechten verwijderen?')">
+        <button type="submit" class="btn-danger btn-sm">🗑️ Gebruiker verwijderen</button>
+    </form>
+    {% endif %}
+</div>
+{% endblock %}
diff --git a/templates/admin_rechten.html b/templates/admin_rechten.html
new file mode 100644
index 0000000..06422d4
--- /dev/null
+++ b/templates/admin_rechten.html
@@ -0,0 +1,201 @@
+{% extends "base.html" %}
+
+{% block title %}{{ u.Gebruikersnaam }} – rechten{% endblock %}
+{% block page_title %}Gebruiker: {{ u.Gebruikersnaam }}{% endblock %}
+
+{% block extra_css %}
+<style>
+    .terug { margin-bottom: 14px; display: inline-block; }
+    .rechten-layout { display: grid; grid-template-columns: minmax(240px, 320px) 1fr; gap: 20px; align-items: start; }
+    .scholen-paneel { border: 1px solid var(--border); border-radius: var(--radius-lg, 12px); overflow: hidden;
+                      position: sticky; top: 12px; }
+    .scholen-paneel .zoek { padding: 10px; border-bottom: 1px solid var(--border); background: var(--surface-muted); }
+    .scholen-paneel .zoek input[type=search] { width: 100%; }
+    .scholen-paneel .zoek label { font-size: .85rem; margin-top: 8px; display: flex; gap: 6px; align-items: center; font-weight: 400; }
+    .scholen-lijst { list-style: none; margin: 0; padding: 0; max-height: 62vh; overflow-y: auto; }
+    .scholen-lijst a { display: flex; justify-content: space-between; gap: 8px; padding: 9px 12px; text-decoration: none;
+                       color: inherit; border-bottom: 1px solid var(--border); font-size: .92rem; }
+    .scholen-lijst a:hover { background: var(--primary-light); }
+    .scholen-lijst a.actief { background: var(--primary-light); border-left: 3px solid var(--primary-color); font-weight: 700; }
+    .scholen-lijst a.leeg { color: var(--text-muted, #64748b); }
+    .scholen-lijst .teller { white-space: nowrap; font-size: .8rem; font-weight: 600; color: var(--primary-color); }
+    .scholen-lijst a.leeg .teller { color: var(--text-muted, #94a3b8); font-weight: 400; }
+    .scholen-lijst .geen { padding: 12px; color: var(--text-muted, #64748b); font-size: .9rem; }
+    .school-select { display: none; margin-bottom: 14px; }
+
+    .cat { border: 1px solid var(--border); border-radius: 10px; margin-bottom: 12px; }
+    .cat-kop { display: flex; justify-content: space-between; align-items: center; padding: 8px 12px;
+               background: var(--surface-muted); border-bottom: 1px solid var(--border); border-radius: 10px 10px 0 0; }
+    .cat-kop strong { color: var(--primary-color); font-size: .92rem; }
+    .cat-kop .knoppen button, .globaal button { padding: 2px 10px; font-size: 12px; }
+    .vinkjes { display: grid; grid-template-columns: repeat(auto-fill, minmax(260px, 1fr)); gap: 2px 16px; padding: 8px 12px; }
+    .vinkjes label { display: flex; gap: 8px; align-items: center; font-weight: 400; padding: 5px 0; cursor: pointer; margin: 0; }
+    .vinkjes input { width: 17px; height: 17px; flex: none; }
+    .globaal { display: flex; gap: 6px; align-items: center; }
+
+    details.ook { border: 1px dashed var(--border); border-radius: 10px; padding: 10px 12px; margin: 14px 0; }
+    details.ook summary { cursor: pointer; font-weight: 600; }
+    .ook-lijst { max-height: 260px; overflow-y: auto; margin-top: 8px; columns: 2 260px; }
+    .ook-lijst label { display: flex; gap: 8px; align-items: center; font-weight: 400; margin: 0; padding: 3px 0; break-inside: avoid; }
+    .ook-lijst input, details.ook .alle input { width: auto; }
+
+    @media (max-width: 760px) {
+        .rechten-layout { grid-template-columns: 1fr; }
+        .scholen-paneel { display: none; }
+        .school-select { display: block; }
+    }
+</style>
+{% endblock %}
+
+{% block content %}
+<a class="terug" href="{{ url_for('admin.settings') }}">← Alle gebruikers</a>
+
+<div class="card">
+    <div class="page-head">
+        <h2>🔐 Rechten van {{ u.Gebruikersnaam }}</h2>
+        <a class="btn btn-sm btn-light" href="{{ url_for('admin.gebruiker', gid=u.Gebruiker_ID) }}">👤 Account</a>
+    </div>
+
+    {% if u.Veiligheidsgroep == ADMIN %}
+    <div class="alert alert-info">{{ u.Gebruikersnaam }} is <strong>administrator</strong> en heeft daardoor altijd alle rechten in alle scholen.
+        De vinkjes hieronder gelden pas als de rol ooit "Gebruiker" wordt.</div>
+    {% endif %}
+
+    {% if not scholen %}
+    <p class="muted">Je mag in geen enkele school rechten instellen.</p>
+    {% else %}
+    <div class="rechten-layout">
+        {# ---------- Scholen ---------- #}
+        <div class="scholen-paneel">
+            <div class="zoek">
+                <input type="search" id="zoekSchool" placeholder="🔍 Zoek school… ({{ scholen|length }})" oninput="filterScholen()">
+                <label><input type="checkbox" id="enkelMet" onchange="filterScholen()" style="width:auto"> Enkel scholen met rechten</label>
+            </div>
+            <ul class="scholen-lijst" id="scholenLijst">
+                {% for s in scholen %}
+                {% set n = aantallen.get(s.id, 0) %}
+                <li data-naam="{{ s.naam|lower }}" data-n="{{ n }}">
+                    <a href="{{ url_for('admin.gebruiker_rechten', gid=u.Gebruiker_ID, school=s.id) }}"
+                       class="{{ 'actief' if gekozen and s.id == gekozen.id else '' }} {{ 'leeg' if not n else '' }}">
+                        <span>{{ s.naam }}{% if not s.actief %} <span class="badge badge-warning">inactief</span>{% endif %}</span>
+                        <span class="teller">{{ n }}/{{ totaal }}</span>
+                    </a>
+                </li>
+                {% endfor %}
+                <li class="geen" id="geenScholen" style="display:none">Geen scholen gevonden.</li>
+            </ul>
+        </div>
+
+        {# ---------- Rechten van de gekozen school ---------- #}
+        <div>
+            <select class="school-select" onchange="location.href=this.value" aria-label="School">
+                {% for s in scholen %}
+                <option value="{{ url_for('admin.gebruiker_rechten', gid=u.Gebruiker_ID, school=s.id) }}"
+                        {% if gekozen and s.id == gekozen.id %}selected{% endif %}>{{ s.naam }} ({{ aantallen.get(s.id, 0) }}/{{ totaal }})</option>
+                {% endfor %}
+            </select>
+
+            {% if gekozen %}
+            <form method="POST" action="{{ url_for('admin.gebruiker_rechten', gid=u.Gebruiker_ID) }}" id="rechtenForm"
+                  onsubmit="return bevestig()">
+                <input type="hidden" name="school_id" value="{{ gekozen.id }}">
+                <div class="page-head" style="margin-bottom:10px">
+                    <h3 style="margin:0">🏫 {{ gekozen.naam }}</h3>
+                    <div class="globaal">
+                        <span class="muted small" id="teller"></span>
+                        <button type="button" class="btn-light" onclick="zet(null, true)">alles</button>
+                        <button type="button" class="btn-light" onclick="zet(null, false)">niets</button>
+                    </div>
+                </div>
+                <p class="muted small" style="margin-top:0">Zonder vinkje in deze school kan {{ u.Gebruikersnaam }} er niet inloggen.</p>
+
+                {% for cat, items in categorieen.items() %}
+                <div class="cat">
+                    <div class="cat-kop">
+                        <strong>{{ cat }}</strong>
+                        <span class="knoppen">
+                            <button type="button" class="btn-light" onclick="zet('{{ loop.index }}', true)">alles</button>
+                            <button type="button" class="btn-light" onclick="zet('{{ loop.index }}', false)">niets</button>
+                        </span>
+                    </div>
+                    <div class="vinkjes">
+                        {% set ci = loop.index %}
+                        {% for code, naam in items %}
+                        <label><input type="checkbox" name="r|{{ code }}" value="1" data-cat="{{ ci }}" onchange="tel()"
+                                      {% if code in huidig %}checked{% endif %}> {{ naam }}</label>
+                        {% endfor %}
+                    </div>
+                </div>
+                {% endfor %}
+
+                {% if scholen|length > 1 %}
+                <details class="ook">
+                    <summary>📋 Deze rechten ook toepassen op andere scholen…</summary>
+                    <p class="field-hint">De aangevinkte scholen krijgen exact dezelfde rechten als {{ gekozen.naam }}. Wat {{ u.Gebruikersnaam }} daar nu mag, wordt overschreven.</p>
+                    <label class="alle" style="font-weight:600;display:flex;gap:8px;align-items:center">
+                        <input type="checkbox" name="ook_alle" value="1" id="ookAlle" onchange="ookAlleWissel()"> Alle {{ scholen|length }} scholen</label>
+                    <input type="search" placeholder="🔍 Zoek school…" oninput="filterOok(this.value)" style="margin-top:8px">
+                    <div class="ook-lijst" id="ookLijst">
+                        {% for s in scholen if s.id != gekozen.id %}
+                        <label data-naam="{{ s.naam|lower }}"><input type="checkbox" name="ook" value="{{ s.id }}"> {{ s.naam }}
+                            <span class="muted small">({{ aantallen.get(s.id, 0) }})</span></label>
+                        {% endfor %}
+                    </div>
+                </details>
+                {% endif %}
+
+                <button type="submit" class="btn-success">💾 Rechten opslaan</button>
+            </form>
+            {% endif %}
+        </div>
+    </div>
+    {% endif %}
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    function vinkjes(cat) {
+        var sel = '#rechtenForm .vinkjes input' + (cat ? '[data-cat="' + cat + '"]' : '');
+        return document.querySelectorAll(sel);
+    }
+    function zet(cat, aan) { vinkjes(cat).forEach(function (cb) { cb.checked = aan; }); tel(); }
+    function tel() {
+        var t = document.getElementById('teller'); if (!t) return;
+        var alle = vinkjes(null), n = 0;
+        alle.forEach(function (cb) { if (cb.checked) n++; });
+        t.textContent = n + ' van ' + alle.length + ' aangevinkt';
+    }
+    function filterScholen() {
+        var q = document.getElementById('zoekSchool').value.trim().toLowerCase();
+        var enkel = document.getElementById('enkelMet').checked, zichtbaar = 0;
+        document.querySelectorAll('#scholenLijst li[data-naam]').forEach(function (li) {
+            var ok = li.dataset.naam.indexOf(q) !== -1 && (!enkel || li.dataset.n !== '0');
+            li.style.display = ok ? '' : 'none'; if (ok) zichtbaar++;
+        });
+        document.getElementById('geenScholen').style.display = zichtbaar ? 'none' : '';
+    }
+    function filterOok(q) {
+        q = q.trim().toLowerCase();
+        document.querySelectorAll('#ookLijst label').forEach(function (l) {
+            l.style.display = l.dataset.naam.indexOf(q) !== -1 ? '' : 'none';
+        });
+    }
+    function ookAlleWissel() {
+        var aan = document.getElementById('ookAlle').checked;
+        document.querySelectorAll('#ookLijst input').forEach(function (cb) { cb.checked = aan; cb.disabled = aan; });
+    }
+    function bevestig() {
+        var alle = document.getElementById('ookAlle');
+        var n = (alle && alle.checked) ? {{ scholen|length - 1 }} : document.querySelectorAll('#ookLijst input:checked').length;
+        if (!n) { if (typeof showLoader === 'function') showLoader(); return true; }
+        var ok = confirm('Dezelfde rechten ook instellen in ' + n + ' andere school/scholen? Wat daar nu aangevinkt is, wordt overschreven.');
+        if (ok && typeof showLoader === 'function') showLoader();
+        return ok;
+    }
+    tel();
+    // gekozen school in beeld scrollen
+    var actief = document.querySelector('#scholenLijst a.actief');
+    if (actief) { var l = document.getElementById('scholenLijst'); l.scrollTop = actief.parentNode.offsetTop - l.clientHeight / 2; }
+</script>
+{% endblock %}
diff --git a/templates/afwezigheden.html b/templates/afwezigheden.html
new file mode 100644
index 0000000..4107d2b
--- /dev/null
+++ b/templates/afwezigheden.html
@@ -0,0 +1,208 @@
+{% extends "base.html" %}
+
+{% block title %}Afwezigheden{% endblock %}
+{% block page_title %}Afwezigheden ({{ codes|join('/') }}-codes){% endblock %}
+
+{% block extra_css %}
+<style>
+    .stats { display: grid; grid-template-columns: repeat(auto-fit, minmax(190px, 1fr)); gap: 16px; margin-bottom: 20px; }
+    .stat { padding: 18px 20px; }
+    .stat + .stat { margin-top: 0; }
+    .stat .val { font-size: 28px; font-weight: 800; line-height: 1.1; font-variant-numeric: tabular-nums; }
+    .stat .lbl { font-size: 12px; color: var(--text-muted); text-transform: uppercase; letter-spacing: .04em; font-weight: 600; margin-top: 4px; }
+    .stat .sub { font-size: 13px; color: var(--text-muted); }
+    .filter-grid { display: grid; grid-template-columns: repeat(auto-fit, minmax(150px, 1fr)); gap: 12px; align-items: end; }
+    .filter-grid .wide { grid-column: span 2; }
+    .filter-grid label { display: block; margin-bottom: 6px; }
+    .filter-actions { display: flex; gap: 8px; }
+    .filter-actions > * { flex: 1; }
+    tr.lln { cursor: pointer; }
+    tr.lln td:first-child::before { content: "▸"; display: inline-block; width: 16px; color: var(--text-muted); transition: transform .15s; }
+    tr.lln.open td:first-child::before { transform: rotate(90deg); }
+    tr.detail td { background: var(--surface-muted); padding: 10px 14px 14px 44px; }
+    .day-chips { display: flex; flex-wrap: wrap; gap: 6px; }
+    .day-chip { display: inline-flex; gap: 6px; align-items: center; padding: 4px 10px; border-radius: 999px; background: #fff;
+                border: 1px solid var(--border); font-size: 13px; }
+    .day-chip .dd { font-weight: 700; color: var(--danger-text); }
+    .count-badge { display: inline-block; min-width: 34px; text-align: center; padding: 3px 10px; border-radius: 999px; font-weight: 700;
+                   background: var(--danger-bg); color: var(--danger-text); }
+    .count-badge.lvl1 { background: var(--warning-bg); color: var(--warning-text); }
+    .sync-bar { display: flex; flex-wrap: wrap; align-items: center; gap: 10px; }
+    .progress { flex: 1 1 200px; height: 8px; background: var(--surface-muted); border: 1px solid var(--border); border-radius: 999px; overflow: hidden; }
+    .progress > span { display: block; height: 100%; width: 0; background: var(--primary-color); transition: width .4s; }
+</style>
+{% endblock %}
+
+{% block content %}
+{# ---------- Kerncijfers ---------- #}
+<div class="stats">
+    <div class="card stat">
+        <div class="val">{{ rows|length }}</div>
+        <div class="lbl">Leerlingen met {{ f.code or codes|join('/') }}</div>
+    </div>
+    <div class="card stat">
+        <div class="val">{{ totaal_halve_dagen }}</div>
+        <div class="lbl">Halve dagen</div>
+        {% if rows %}<div class="sub">gem. {{ '%.1f'|format(totaal_halve_dagen / rows|length) }} per leerling</div>{% endif %}
+    </div>
+    <div class="card stat">
+        <div class="val" style="font-size:18px; padding-top:6px">
+            {% if laatste.m %}{{ laatste.m.strftime('%d-%m-%Y %H:%M') }}{% else %}Nog nooit{% endif %}
+        </div>
+        <div class="lbl">Laatst gesynchroniseerd</div>
+        <div class="sub">Automatisch elke ochtend</div>
+    </div>
+</div>
+
+{% if fout %}<div class="flash-message error"><span>{{ fout }}</span></div>{% endif %}
+
+{% if not laatste.m and not status.bezig %}
+<div class="alert alert-warning">
+    Er zijn nog geen gegevens opgehaald uit Smartschool. Klik op <strong>Nu synchroniseren</strong> om het huidige schooljaar op te halen
+    (de eerste keer duurt dit enkele minuten).
+</div>
+{% endif %}
+
+{# ---------- Synchronisatie ---------- #}
+<div class="card" id="syncCard">
+    <div class="sync-bar">
+        <form method="POST" action="{{ url_for('afwezigheden.sync') }}" style="margin:0">
+            <button type="submit" class="btn-secondary" id="syncBtn" {% if status.bezig %}disabled{% endif %}>🔄 Nu synchroniseren</button>
+        </form>
+        <div class="progress {% if not status.bezig %}hidden{% endif %}" id="syncProgress"><span id="syncProgressBar"></span></div>
+        <span class="muted small" id="syncText">
+            {% if status.bezig %}Bezig…{% elif status.laatste_resultaat %}{{ status.laatste_resultaat }}{% endif %}
+        </span>
+    </div>
+</div>
+
+{# ---------- Filters ---------- #}
+<div class="card">
+    <form method="GET" action="{{ url_for('afwezigheden.overzicht') }}">
+        <div class="filter-grid">
+            <div class="wide">
+                <label for="zoek">Leerling</label>
+                <input type="search" id="zoek" name="zoek" value="{{ f.zoek }}" placeholder="Naam, gebruikersnaam of internnummer">
+            </div>
+            <div>
+                <label for="van">Van</label>
+                <input type="date" id="van" name="van" value="{{ f.van.isoformat() }}">
+            </div>
+            <div>
+                <label for="tot">Tot en met</label>
+                <input type="date" id="tot" name="tot" value="{{ f.tot.isoformat() }}">
+            </div>
+            <div>
+                <label for="min">Minimum halve dagen</label>
+                <input type="number" id="min" name="min" min="1" value="{{ f.minimum }}">
+            </div>
+            {% if codes|length > 1 %}
+            <div>
+                <label for="code">Code</label>
+                <select id="code" name="code">
+                    <option value="">Alle ({{ codes|join(', ') }})</option>
+                    {% for c in codes %}<option value="{{ c }}" {% if f.code == c %}selected{% endif %}>{{ c }}</option>{% endfor %}
+                </select>
+            </div>
+            {% endif %}
+            <div class="filter-actions">
+                <button type="submit">🔍 Filteren</button>
+                <a class="btn btn-light" href="{{ url_for('afwezigheden.overzicht') }}">Wissen</a>
+            </div>
+        </div>
+    </form>
+</div>
+
+{# ---------- Ranglijst ---------- #}
+<div class="card">
+    <div class="page-head">
+        <h2>📋 Leerlingen</h2>
+        <div class="actions">
+            {% if rows %}<a class="btn btn-light" href="{{ url_for('afwezigheden.export_csv', **request.args) }}">⬇️ Export CSV</a>{% endif %}
+        </div>
+    </div>
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr>
+                    <th>Leerling</th>
+                    <th>Internnummer</th>
+                    <th class="center">Halve dagen</th>
+                    <th class="center">Dagen</th>
+                    <th>Eerste</th>
+                    <th>Laatste</th>
+                </tr>
+            </thead>
+            <tbody>
+            {% for r in rows %}
+                <tr class="lln" data-intern="{{ r.Internnummer }}" onclick="toggleDetail(this)">
+                    <td><strong>{% if r.Naam or r.Voornaam %}{{ r.Naam }} {{ r.Voornaam }}{% else %}<span class="muted">Onbekend in PIVOT</span>{% endif %}</strong>
+                        {% if r.Gebruikersnaam %}<span class="muted small"> · {{ r.Gebruikersnaam }}</span>{% endif %}</td>
+                    <td>{{ r.Internnummer }}</td>
+                    <td class="center"><span class="count-badge {{ 'lvl1' if r.Halve_dagen < 5 else '' }}">{{ r.Halve_dagen }}</span></td>
+                    <td class="center">{{ r.Dagen }}</td>
+                    <td class="nowrap">{{ r.Eerste.strftime('%d-%m-%Y') }}</td>
+                    <td class="nowrap">{{ r.Laatste.strftime('%d-%m-%Y') }}</td>
+                </tr>
+            {% else %}
+                <tr class="empty-row"><td colspan="6">
+                    {% if laatste.m %}Geen leerlingen met {{ f.code or codes|join('/') }}-codes in deze periode.{% else %}Nog geen gegevens.{% endif %}
+                </td></tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+    <p class="field-hint">Klik op een leerling om de datums te zien. Vanaf 5 halve dagen kleurt het aantal rood.</p>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    const filterQuery = {{ request.query_string.decode()|tojson }};
+
+    function toggleDetail(tr) {
+        const next = tr.nextElementSibling;
+        if (next && next.classList.contains('detail')) { next.remove(); tr.classList.remove('open'); return; }
+        tr.classList.add('open');
+        const row = document.createElement('tr');
+        row.className = 'detail';
+        row.innerHTML = '<td colspan="6" class="muted">Laden…</td>';
+        tr.after(row);
+        fetch(`{{ url_for('afwezigheden.overzicht') }}leerling/${encodeURIComponent(tr.dataset.intern)}.json?${filterQuery}`)
+            .then(r => r.json())
+            .then(dagen => {
+                const chips = dagen.map(d => {
+                    const deel = d.vm && d.nm ? 'hele dag' : (d.vm ? 'VM' : 'NM');
+                    return `<span class="day-chip">${d.weekdag} ${d.datum} <span class="dd">${deel}</span></span>`;
+                }).join('');
+                row.firstElementChild.className = '';
+                row.firstElementChild.innerHTML = `<div class="day-chips">${chips || 'Geen datums.'}</div>`;
+            })
+            .catch(() => { row.firstElementChild.textContent = 'Kon de datums niet laden.'; });
+    }
+
+    // Voortgang van een lopende synchronisatie volgen
+    (function pollSync() {
+        const bar = document.getElementById('syncProgressBar');
+        const box = document.getElementById('syncProgress');
+        const txt = document.getElementById('syncText');
+        const btn = document.getElementById('syncBtn');
+        let wasBusy = {{ 'true' if status.bezig else 'false' }};
+        function tick() {
+            fetch("{{ url_for('afwezigheden.status') }}").then(r => r.json()).then(s => {
+                if (s.bezig) {
+                    wasBusy = true;
+                    box.classList.remove('hidden'); btn.disabled = true;
+                    const pct = s.totaal ? Math.round(s.voortgang / s.totaal * 100) : 0;
+                    bar.style.width = pct + '%';
+                    txt.textContent = `Bezig: dag ${s.voortgang} van ${s.totaal}…`;
+                    setTimeout(tick, 2000);
+                } else if (wasBusy) {
+                    window.location.reload();     // klaar → nieuwe gegevens tonen
+                }
+            }).catch(() => {});
+        }
+        if (wasBusy) tick();
+    })();
+</script>
+{% endblock %}
diff --git a/templates/base.html b/templates/base.html
new file mode 100644
index 0000000..281aab0
--- /dev/null
+++ b/templates/base.html
@@ -0,0 +1,147 @@
+<!DOCTYPE html>
+<html lang="nl">
+<head>
+    <meta charset="UTF-8">
+    <meta name="viewport" content="width=device-width, initial-scale=1.0">
+    <title>{% block title %}PIVOT{% endblock %} – {{ school_name_short|upper or 'PIVOT' }}</title>
+    <link rel="icon" type="image/png" href="{{ url_for('static', filename='pivot_mark.png') }}">
+    <link rel="stylesheet" href="{{ url_for('static', filename='global.css') }}">
+    {% block head %}{% endblock %}
+    <style>.header-school { display: inline-block; max-width: 200px; overflow: hidden; text-overflow: ellipsis; vertical-align: middle; }</style>
+    {% block extra_css %}{% endblock %}
+</head>
+<body class="{% block body_class %}{% endblock %}">
+
+    {# ---------- Laadscherm (gedeeld) ---------- #}
+    <div id="loader-overlay" aria-live="polite">
+        <div class="spinner"></div>
+        <div class="loader-text" id="loader-text">{% block loader_text %}Verwerken...{% endblock %}</div>
+        {% block loader_sub %}{% endblock %}
+    </div>
+
+    {# ---------- Header ---------- #}
+    {% block header %}
+    <header class="app-header {% block header_class %}{% endblock %}">
+        <div class="header-left">
+            <a href="{{ url_for('main.dashboard') }}" class="brand" title="Naar het dashboard">
+                <span class="brand-mark"><img src="{{ url_for('static', filename='pivot_mark.png') }}" alt=""></span>
+                <span class="brand-name">PIVOT</span>
+            </a>
+            {% block header_nav %}
+                <a href="{{ url_for('main.dashboard') }}" class="home-btn">🏠 Home</a>
+            {% endblock %}
+        </div>
+
+        <h1 class="page-title">{% block page_title %}{% endblock %}</h1>
+
+        <div class="header-right">
+            {% if school %}
+                {% if is_superbeheerder %}
+                <a href="{{ url_for('scholen.overzicht') }}" class="header-user header-school" style="color:inherit;text-decoration:none" title="{{ school.naam }} – andere school kiezen">🏫 {{ school.naam }} ⇄</a>
+                {% elif andere_scholen %}
+                <select class="header-user header-school" title="Andere school kiezen" aria-label="School kiezen"
+                        style="width:auto;color:inherit;background:transparent;border:0;cursor:pointer"
+                        onchange="if (this.value) location.href = this.value">
+                    <option value="" selected>🏫 {{ school.naam }} ⇄</option>
+                    {% for s in andere_scholen %}
+                    <option value="{{ url_for('scholen.wissel', code=s.code) }}" style="color:#1e293b">{{ s.naam }}</option>
+                    {% endfor %}
+                </select>
+                {% else %}
+                <span class="header-user header-school" title="{{ school.naam }}">🏫 {{ school.naam }}</span>
+                {% endif %}
+            {% endif %}
+            {% if session.get('user') %}
+                <span class="header-user">👤 {{ session.get('user') }}</span>
+            {% endif %}
+            <form action="{{ url_for('auth.logout') }}" method="get">
+                <button type="submit" class="logout-btn">Uitloggen</button>
+            </form>
+        </div>
+    </header>
+    {% endblock %}
+
+    <main class="app-main {% block main_class %}{% endblock %}">
+        {# ---------- Flash-berichten (gedeeld) ---------- #}
+        {% block flashes %}
+            {% with messages = get_flashed_messages(with_categories=true) %}
+              {% if messages %}
+                <div class="flash-container">
+                  {% for category, message in messages %}
+                    <div class="flash-message {{ category if category else 'info' }}" role="alert">
+                      <span>{{ message }}</span>
+                      <button type="button" class="flash-close" aria-label="Sluiten" onclick="this.parentElement.remove()">&times;</button>
+                    </div>
+                  {% endfor %}
+                </div>
+              {% endif %}
+            {% endwith %}
+        {% endblock %}
+
+        {% block content %}{% endblock %}
+    </main>
+
+    {% block modals %}{% endblock %}
+
+    {% block footer %}
+    <footer class="app-footer">
+        {% if school %}{{ school.naam }} – {% endif %}PIVOT – Versie {{ version }}
+    </footer>
+    {% endblock %}
+
+    <script>
+        /* Gedeelde helpers – beschikbaar op elke pagina */
+
+        /* Aantal rijen per pagina in tabellen: 10 / 25 / 50 / 100 / alles (0). Standaard 25 (of de opgegeven standaard).
+           De keuze wordt per tabel onthouden in deze browser. */
+        const PER_PAGINA_KEUZES = [10, 25, 50, 100, 0];
+        function perPagina(sleutel, standaard = 25) {
+            try {
+                const v = localStorage.getItem('pivot.perpagina.' + sleutel);
+                if (v !== null && PER_PAGINA_KEUZES.includes(+v)) return +v;
+            } catch (e) { /* geen opslag beschikbaar */ }
+            return standaard;
+        }
+        function perPaginaKiezer(container, sleutel, opWijzig, standaard = 25) {
+            if (!container) return;
+            const huidig = perPagina(sleutel, standaard);
+            container.innerHTML = '<label class="per-pagina">Toon <select aria-label="Aantal per pagina">'
+                + PER_PAGINA_KEUZES.map(n => `<option value="${n}" ${n === huidig ? 'selected' : ''}>${n || 'alles'}</option>`).join('')
+                + '</select> per pagina</label>';
+            container.querySelector('select').addEventListener('change', e => {
+                const n = +e.target.value;
+                try { localStorage.setItem('pivot.perpagina.' + sleutel, n); } catch (err) { /* negeren */ }
+                opWijzig(n);
+            });
+        }
+
+        function showLoader(text) {
+            if (text) document.getElementById('loader-text').innerText = text;
+            document.getElementById('loader-overlay').style.display = 'flex';
+        }
+        function hideLoader() {
+            document.getElementById('loader-overlay').style.display = 'none';
+        }
+        // Loader verbergen wanneer de pagina via 'terug' uit de cache komt
+        window.addEventListener('pageshow', function (e) { if (e.persisted) hideLoader(); });
+
+        // Succes- en infoberichten verdwijnen na 6 seconden; foutmeldingen blijven staan
+        setTimeout(function () {
+            document.querySelectorAll('.flash-message:not(.error):not(.danger)').forEach(function (f) {
+                f.style.transition = 'opacity .5s ease';
+                f.style.opacity = '0';
+                setTimeout(function () { f.remove(); }, 500);
+            });
+        }, 6000);
+
+        // Escape sluit open modals
+        document.addEventListener('keydown', function (e) {
+            if (e.key !== 'Escape') return;
+            document.querySelectorAll('.modal, .modal-overlay').forEach(function (m) {
+                if (m.style.display && m.style.display !== 'none') m.style.display = 'none';
+            });
+        });
+    </script>
+    {% block scripts %}{% endblock %}
+</body>
+</html>
diff --git a/templates/bingel.html b/templates/bingel.html
new file mode 100644
index 0000000..0dbe38d
--- /dev/null
+++ b/templates/bingel.html
@@ -0,0 +1,179 @@
+{% extends "base.html" %}
+
+{% block title %}Bingel{% endblock %}
+{% block page_title %}Bingel{% endblock %}
+{% block main_class %}wide{% endblock %}
+{% block loader_text %}Leerlingen ophalen uit Informat...{% endblock %}
+
+{% block extra_css %}
+<style>
+    .balk { display: flex; flex-wrap: wrap; gap: 10px; align-items: center; margin: 12px 0; }
+    .balk input[type=search] { flex: 0 1 300px; margin: 0; }
+    .balk select { width: auto; min-width: 180px; margin: 0; }
+    .tellers { display: flex; flex-wrap: wrap; gap: 8px; margin: 4px 0 6px; }
+    .tellers button { width: auto; margin: 0; padding: 4px 12px; border-radius: 999px; background: var(--surface-muted);
+                      border: 1px solid var(--border); font-size: .88em; color: inherit; font-weight: 400; cursor: pointer; }
+    .tellers button:hover { border-color: var(--primary-color); }
+    .tellers button[aria-pressed="true"] { border-color: var(--primary-color); background: var(--primary-light); color: var(--primary-color); font-weight: 600; }
+    .tellers b { margin-left: 4px; }
+    .tellers .let { background: #fef3c7; border-color: #fcd34d; }
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+    td.leeg { background: #fff7ed; }
+    .klaskeuze { border: 1px solid var(--border); border-radius: var(--radius); padding: 10px 14px; margin: 10px 0; }
+    .klaskeuze-kop { display: flex; flex-wrap: wrap; gap: 10px; align-items: center; margin-bottom: 8px; }
+    .klaskeuze-kop button { margin: 0; }
+    .klasvinken { display: flex; flex-wrap: wrap; gap: 6px 10px; }
+    .klasvinken label { display: inline-flex; gap: 6px; align-items: center; margin: 0; padding: 4px 10px; font-weight: 600;
+                        border: 1px solid var(--border); border-radius: 999px; cursor: pointer; }
+    .klasvinken label:has(input:checked) { border-color: var(--primary-color); background: var(--primary-light); }
+    .klasvinken input { width: auto; margin: 0; }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>📗 Bingel · {{ school_naam }}</h2>
+        <div class="actions">
+            {% if rijen %}<a class="btn btn-success btn-sm" id="exportKnop" href="{{ url_for('basisonderwijs.bingel_export') }}">⬇️ Excel alle klassen</a>{% endif %}
+            <a class="btn btn-secondary btn-sm" href="{{ url_for('basisonderwijs.bingel', vernieuw=1) }}" onclick="showLoader()">🔄 Opnieuw ophalen</a>
+        </div>
+    </div>
+    <p class="field-hint" style="margin-top:-6px">Alle leerlingen uit Informat, klaar voor de import in Bingel. Kolommen in de Excel:
+        {{ kolommen|join(', ') }}. Het wachtwoord blijft leeg; het klasnummer is alfabetisch binnen de klas (familienaam, voornaam).</p>
+
+    {% if fout %}
+        <div class="alert alert-danger">{{ fout }}</div>
+    {% elif not rijen %}
+        <p class="muted">Informat gaf geen leerlingen terug.</p>
+    {% else %}
+        {% if waarschuwing %}<div class="alert alert-warning">{{ waarschuwing }}</div>{% endif %}
+        <div class="tellers" id="tellers">
+            <button type="button" data-filter="" aria-pressed="true" title="Alle leerlingen tonen">Leerlingen <b>{{ rijen|length }}</b></button>
+            <button type="button" data-filter="" title="Alle leerlingen tonen">Klassen <b>{{ klassen|length }}</b></button>
+            {% if zonder_klas %}<button type="button" class="let" data-filter="klas" aria-pressed="false" title="Enkel leerlingen zonder klas">Zonder klas <b>{{ zonder_klas }}</b></button>{% endif %}
+            {% if zonder_geslacht %}<button type="button" class="let" data-filter="geslacht" aria-pressed="false" title="Enkel leerlingen zonder geslacht M/V">Geslacht niet M/V <b>{{ zonder_geslacht }}</b></button>{% endif %}
+        </div>
+        <div class="klaskeuze">
+            <div class="klaskeuze-kop">
+                <strong>Klassen in de lijst</strong> <span class="muted small" id="klasTeller"></span>
+                <button type="button" class="btn-sm btn-light" id="allesAan">Alles aanvinken</button>
+                <button type="button" class="btn-sm btn-light" id="allesUit">Niets</button>
+            </div>
+            <div class="klasvinken" id="klasVinken">
+                {% for k in klassen %}
+                <label><input type="checkbox" value="{{ k }}" checked> {{ k or '(geen klas)' }}
+                    <span class="muted small">{{ rijen|selectattr('klas', 'equalto', k)|list|length }}</span></label>
+                {% endfor %}
+            </div>
+        </div>
+        <div class="balk">
+            <input type="search" id="zoek" placeholder="Zoek op naam..." aria-label="Zoeken">
+            <span id="perPagina"></span>
+        </div>
+        <div class="table-wrap">
+            <table>
+                <thead><tr>{% for k in kolommen %}<th class="{{ 'sorteer' if k != 'Wachtwoord' }}" {{ 'data-tekst' if k not in ('Klasnummer',) }}>{{ k }}{% if k != 'Wachtwoord' %} <span class="pijl"></span>{% endif %}</th>{% endfor %}</tr></thead>
+                <tbody id="body">
+                {% for r in rijen %}
+                    <tr data-klas="{{ r.klas }}" data-geen="{{ ' '.join([('klas' if not r.klas else ''), ('geslacht' if r.geslacht not in ('M', 'V') else '')]) }}">
+                        <td class="{{ 'leeg' if not r.klas }}" data-sort="{{ r.klas }}"><strong>{{ r.klas }}</strong></td>
+                        <td data-sort="{{ r.voornaam }}">{{ r.voornaam }}</td>
+                        <td data-sort="{{ r.naam }}">{{ r.naam }}</td>
+                        <td class="muted"></td>
+                        <td data-sort="{{ r.klasnummer if r.klasnummer is not none else '' }}">{{ r.klasnummer if r.klasnummer is not none else '' }}</td>
+                        <td class="{{ 'leeg' if r.geslacht not in ('M', 'V') }}" data-sort="{{ r.geslacht }}">{{ r.geslacht }}</td>
+                    </tr>
+                {% endfor %}
+                </tbody>
+            </table>
+        </div>
+        <div class="tabel-voet">
+            <div class="muted small" id="teller"></div>
+            <nav class="paginering" id="paginering" aria-label="Pagina's"></nav>
+        </div>
+        {% if (zonder_klas or zonder_nummer or zonder_geslacht) and voorbeeld %}
+        <details style="margin-top:14px">
+            <summary class="muted small">Velden die Informat teruggeeft (om na te kijken waarom iets leeg blijft)</summary>
+            <p class="small" style="margin-top:6px"><strong>Leerling:</strong> <code>{{ voorbeeld.leerling|join(', ') }}</code></p>
+            <p class="small"><strong>Inschrijving:</strong> <code>{{ voorbeeld.inschrijving|join(', ') or '— geen inschrijvingen ontvangen —' }}</code></p>
+            {% if voorbeeld.klas_item %}<p class="small"><strong>Voorbeeld van een klas (inschrKlassen):</strong> <code>{{ voorbeeld.klas_item }}</code></p>{% endif %}
+        </details>
+        {% endif %}
+    {% endif %}
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    (function () {
+        const body = document.getElementById('body');
+        if (!body) return;
+        const rijen = Array.from(body.rows), zoekVeld = document.getElementById('zoek');
+        const vinken = Array.from(document.querySelectorAll('#klasVinken input'));
+        const gekozen = () => new Set(vinken.filter(v => v.checked).map(v => v.value));
+        const exp = document.getElementById('exportKnop'), basis = exp.href;
+        let PER = perPagina('bingel', 25), pagina = 1, filter = '';
+        document.querySelectorAll('#tellers button').forEach(b => b.addEventListener('click', () => {
+            filter = b.dataset.filter;
+            document.querySelectorAll('#tellers button').forEach(x => x.setAttribute('aria-pressed', String(x === b)));
+            pagina = 1; toon();
+        }));
+        let kol = null, op = true;
+        document.querySelectorAll('th.sorteer').forEach(th => th.addEventListener('click', () => {
+            const k = th.cellIndex;
+            op = kol === k ? !op : true; kol = k;
+            document.querySelectorAll('th.sorteer').forEach(x => x.classList.remove('op', 'af'));
+            th.classList.add(op ? 'op' : 'af');
+            rijen.sort((a, b) => {
+                const x = a.cells[k].dataset.sort || '', y = b.cells[k].dataset.sort || '';
+                if (!x !== !y) return x ? -1 : 1;
+                const c = x.localeCompare(y, 'nl', { numeric: true, sensitivity: 'base' });
+                return op ? c : -c;
+            }).forEach(tr => body.appendChild(tr));
+            pagina = 1; toon();
+        }));
+        function toon() {
+            const k = gekozen(), z = zoekVeld.value.trim().toLowerCase();
+            const lijst = rijen.filter(tr => k.has(tr.dataset.klas) && (!z || tr.textContent.toLowerCase().includes(z))
+                && (!filter || tr.dataset.geen.split(' ').includes(filter)));
+            const grootte = PER || Infinity, paginas = Math.max(1, Math.ceil(lijst.length / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER ? (pagina - 1) * PER : 0, tot = van + grootte;
+            rijen.forEach(tr => tr.style.display = 'none');
+            lijst.forEach((tr, i) => tr.style.display = i >= van && i < tot ? '' : 'none');
+            document.getElementById('teller').textContent = lijst.length ? `${van + 1}–${Math.min(tot, lijst.length)} van ${lijst.length}` : 'Niets gevonden';
+            const nav = document.getElementById('paginering'); nav.innerHTML = '';
+            if (paginas > 1) {
+                const knop = (t, p, a) => { const b = document.createElement('button'); b.type = 'button'; b.textContent = t;
+                    b.className = 'btn-sm ' + (a ? 'btn-secondary' : 'btn-light'); b.onclick = () => { pagina = p; toon(); }; nav.appendChild(b); };
+                if (pagina > 1) { knop('«', 1); knop('‹', pagina - 1); }
+                for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+                if (pagina < paginas) { knop('›', pagina + 1); knop('»', paginas); }
+            }
+        }
+        function klassenGewijzigd() {
+            const k = gekozen(), alle = k.size === vinken.length;
+            exp.href = alle ? basis : basis + '?' + Array.from(k).map(x => 'klas=' + encodeURIComponent(x)).join('&');
+            exp.textContent = alle ? '⬇️ Excel alle klassen' : (k.size === 1 ? '⬇️ Excel ' + Array.from(k)[0] : `⬇️ Excel ${k.size} klassen`);
+            exp.classList.toggle('disabled', !k.size);
+            exp.style.pointerEvents = k.size ? '' : 'none';
+            exp.style.opacity = k.size ? '' : '.5';
+            document.getElementById('klasTeller').textContent = `${k.size} van ${vinken.length} aangevinkt`;
+            pagina = 1; toon();
+        }
+        vinken.forEach(v => v.addEventListener('change', klassenGewijzigd));
+        document.getElementById('allesAan').onclick = () => { vinken.forEach(v => v.checked = true); klassenGewijzigd(); };
+        document.getElementById('allesUit').onclick = () => { vinken.forEach(v => v.checked = false); klassenGewijzigd(); };
+        zoekVeld.addEventListener('input', () => { pagina = 1; toon(); });
+        perPaginaKiezer(document.getElementById('perPagina'), 'bingel', n => { PER = n; pagina = 1; toon(); }, 25);
+        klassenGewijzigd();
+    })();
+</script>
+{% endblock %}
diff --git a/templates/bugreport.html b/templates/bugreport.html
new file mode 100644
index 0000000..d51d40d
--- /dev/null
+++ b/templates/bugreport.html
@@ -0,0 +1,53 @@
+{% extends "base.html" %}
+
+{% block title %}Bug rapporteren{% endblock %}
+{% block page_title %}🐞 Bug rapporteren{% endblock %}
+{% block header_class %}header--bug{% endblock %}
+{% block main_class %}medium{% endblock %}
+{% block loader_text %}Bugreport verwerken...{% endblock %}
+
+{% block extra_css %}
+<style>
+    .info-box { margin-top: 14px; padding: 14px; border: 2px dashed var(--bug); border-radius: var(--radius); background: var(--success-bg); }
+    .info-box ul { padding-left: 20px; margin: 6px 0 0; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="split">
+    <div class="card">
+        <h2 class="card-title">Fout of bug rapporteren</h2>
+
+        <form method="POST" action="{{ url_for('bugreport.bugreport_submit') }}" onsubmit="showLoader()">
+            <div class="field">
+                <label for="tijdstip">Tijdstip van de fout</label>
+                <input type="datetime-local" id="tijdstip" name="tijdstip" required>
+            </div>
+            <div class="field">
+                <label for="omschrijving">Omschrijving van de bug</label>
+                <textarea id="omschrijving" name="omschrijving" required placeholder="Wat ging er precies mis? Welke stappen heb je ondernomen?"></textarea>
+            </div>
+            <div class="field">
+                <label for="foutcode">Foutcode <span class="muted">(indien beschikbaar)</span></label>
+                <textarea id="foutcode" name="foutcode" placeholder="Bijv. Error 404, NullPointerException of een tekstuele foutmelding..."></textarea>
+            </div>
+            <button class="btn-block btn-lg btn-success" type="submit">Rapport indienen</button>
+        </form>
+    </div>
+
+    <div class="card">
+        <h2 class="card-title">ℹ️ Informatie</h2>
+        <p>Heeft de applicatie een probleem of werkt er iets niet naar behoren? Meld het direct aan het supportteam.</p>
+        <div class="info-box">
+            <strong>Automatische gegevens</strong>
+            <ul>
+                <li><strong>Gebruiker:</strong> wordt automatisch gekoppeld aan jouw account.</li>
+                <li><strong>Status:</strong> staat standaard op <span class="badge badge-info">Nieuw</span>.</li>
+            </ul>
+        </div>
+        <p class="small muted" style="margin-top: 14px;">
+            Probeer de omschrijving zo nauwkeurig mogelijk in te vullen, zodat we het probleem snel kunnen reproduceren en oplossen.
+        </p>
+    </div>
+</div>
+{% endblock %}
diff --git a/templates/bugreport_overzicht.html b/templates/bugreport_overzicht.html
new file mode 100644
index 0000000..939419a
--- /dev/null
+++ b/templates/bugreport_overzicht.html
@@ -0,0 +1,102 @@
+{% extends "base.html" %}
+
+{% block title %}Bugoverzicht{% endblock %}
+{% block page_title %}🐞 Bugoverzicht{% endblock %}
+{% block header_class %}header--bug{% endblock %}
+{% block main_class %}wide{% endblock %}
+
+{% block extra_css %}
+<style>
+    .text-wrap { max-width: 380px; white-space: pre-line; word-break: break-word; }
+    .foutcode-block { font-family: ui-monospace, Consolas, monospace; background: var(--surface-muted); border: 1px solid var(--border); padding: 3px 8px; border-radius: 4px; font-size: 12.5px; display: inline-block; max-width: 260px; word-break: break-all; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>Ingediende bugreports</h2>
+        <div class="actions">
+            <a class="btn btn-success" href="{{ url_for('bugreport.bugreport') }}">➕ Nieuwe bug melden</a>
+        </div>
+    </div>
+
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr>
+                    <th>ID</th>
+                    <th>Gebruiker</th>
+                    <th>Datum / tijd</th>
+                    <th>Omschrijving</th>
+                    <th>Foutcode</th>
+                    <th>Status</th>
+                    <th class="actions">Actie</th>
+                </tr>
+            </thead>
+            <tbody>
+                {% for bug in results %}
+                <tr>
+                    <td><strong>#{{ bug.Bug_ID }}</strong></td>
+                    <td>{{ bug.Gebruiker }}</td>
+                    <td class="nowrap">{{ bug.Datum.strftime('%d-%m-%Y %H:%M') if bug.Datum else '' }}</td>
+                    <td class="text-wrap">{{ bug.Omschrijving }}</td>
+                    <td>
+                        {% if bug.Foutcode %}<span class="foutcode-block">{{ bug.Foutcode }}</span>
+                        {% else %}<span class="muted"><em>Geen</em></span>{% endif %}
+                    </td>
+                    <td>
+                        {% if bug.Status == 'Fixed' %}<span class="badge badge-success">✅ Fixed</span>
+                        {% elif bug.Status == 'In behandeling' %}<span class="badge badge-warning">🧑‍💻 In behandeling</span>
+                        {% else %}<span class="badge badge-info">ℹ️ Nieuw</span>
+                        {% endif %}
+                    </td>
+                    <td class="actions">
+                        <button type="button" class="btn-sm btn-success" onclick="openStatusModal('{{ bug.Bug_ID }}')">Wijzig status</button>
+                    </td>
+                </tr>
+                {% else %}
+                <tr class="empty-row"><td colspan="7">Er zijn momenteel geen bugreports.</td></tr>
+                {% endfor %}
+            </tbody>
+        </table>
+    </div>
+</div>
+{% endblock %}
+
+{% block modals %}
+<div id="statusModal" class="modal">
+    <div class="modal-content">
+        <span class="close" onclick="document.getElementById('statusModal').style.display='none'">&times;</span>
+        <h3>Status wijzigen voor bug <span id="modalBugId"></span></h3>
+
+        <form id="statusForm" method="POST" action="{{ url_for('bugreport_overzicht.bugreport_wijzig_status') }}">
+            <input type="hidden" name="Bug_ID" id="modalHiddenBugId">
+            <input type="hidden" name="new_status" id="modalHiddenStatus">
+            <button type="button" class="status-button status-info" id="btn-nieuw" onclick="submitStatus('Nieuw')">ℹ️ Nieuw</button>
+            <button type="button" class="status-button status-warning" id="btn-behandeling" onclick="submitStatus('In behandeling')">🧑‍💻 In behandeling</button>
+            <button type="button" class="status-button status-success" id="btn-fixed" onclick="submitStatus('Fixed')">✅ Fixed</button>
+        </form>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    function openStatusModal(bugId) {
+        document.getElementById('modalBugId').textContent = '#' + bugId;
+        document.getElementById('modalHiddenBugId').value = bugId;
+        document.getElementById('statusModal').style.display = 'block';
+    }
+
+    function submitStatus(chosenStatus) {
+        document.getElementById('modalHiddenStatus').value = chosenStatus;
+        document.getElementById('statusForm').submit();
+    }
+
+    window.onclick = function (event) {
+        const modal = document.getElementById('statusModal');
+        if (event.target === modal) modal.style.display = 'none';
+    };
+</script>
+{% endblock %}
diff --git a/templates/contacten.html b/templates/contacten.html
new file mode 100644
index 0000000..ab46d03
--- /dev/null
+++ b/templates/contacten.html
@@ -0,0 +1,352 @@
+{% extends "base.html" %}
+
+{% block title %}Contacten{% endblock %}
+{% block page_title %}Contacten{% endblock %}
+{% block main_class %}wide{% endblock %}
+{% block loader_text %}Bezig met Google...{% endblock %}
+
+{% block extra_css %}
+<style>
+    [hidden] { display: none !important; }
+    .tabs { display: flex; flex-wrap: wrap; gap: 8px; margin-bottom: 14px; }
+    .tabs a { padding: 8px 16px; border-radius: 999px; border: 1px solid var(--border); background: var(--surface, #fff);
+              text-decoration: none; color: var(--text, #1e293b); font-weight: 600; font-size: .93em; }
+    .tabs a.actief { border-color: var(--primary-color); color: var(--primary-color); background: var(--primary-light); }
+    .balk { display: flex; flex-wrap: wrap; gap: 10px; align-items: center; margin: 12px 0; }
+    .balk input[type=search] { flex: 0 1 320px; margin: 0; }
+    .balk select { width: auto; min-width: 220px; margin: 0; }
+    .balk .rechts { margin-left: auto; display: flex; flex-wrap: wrap; gap: 8px; }
+    td.nowrap { white-space: nowrap; }
+    td.acties { white-space: nowrap; text-align: right; }
+    td.acties form, td.acties button { display: inline; margin: 0 0 0 4px; }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+    .velden2 { display: grid; grid-template-columns: 1fr 1fr; gap: 0 12px; }
+    .velden2 .vol { grid-column: 1 / -1; }
+    .lijst-kaarten { display: grid; grid-template-columns: repeat(auto-fill, minmax(260px, 1fr)); gap: 12px; }
+    .lijst-kaart { border: 1px solid var(--border); border-radius: var(--radius); padding: 14px; text-decoration: none; color: inherit;
+                   display: block; background: var(--surface, #fff); }
+    .lijst-kaart:hover, .lijst-kaart.actief { border-color: var(--primary-color); background: var(--primary-light); }
+    .lijst-kaart strong { display: block; font-size: 1.02em; }
+    .lijst-kaart .muted { font-size: .85em; }
+    .lijst-kaart.nieuw { display: grid; place-items: center; border-style: dashed; color: var(--primary-color); font-weight: 600; min-height: 90px; }
+    .ou-kader { border: 1px solid var(--border); border-radius: var(--radius); max-height: 200px; overflow: auto; padding: 6px 10px; }
+    .ou-kader label { display: flex; gap: 8px; align-items: center; margin: 0; padding: 3px 0; font-weight: 400; cursor: pointer; }
+    .ou-kader input, .klein-vink input { width: auto; margin: 0; }
+    .klein-vink { display: flex; gap: 8px; align-items: center; font-weight: 400; margin-top: 8px; }
+    .lijst-raster { display: grid; grid-template-columns: minmax(240px, 1fr) minmax(260px, 1fr); gap: 16px; }
+    @media (max-width: 900px) { .lijst-raster, .velden2 { grid-template-columns: 1fr; } }
+    #items td { padding: 4px 6px; }
+    #items input { margin: 0; padding: 5px 8px; font-size: 13px; min-width: 110px; }
+    .voortgang { height: 8px; border-radius: 999px; background: var(--surface-muted); overflow: hidden; margin: 8px 0; }
+    .voortgang div { height: 100%; width: 0; background: var(--primary-color); transition: width .4s; }
+    .zicht { display: inline-block; padding: 2px 10px; border-radius: 999px; font-size: .85em; font-weight: 600; }
+    .zicht.ja { background: #dcfce7; color: #15803d; } .zicht.nee { background: #fee2e2; color: #b91c1c; }
+</style>
+{% endblock %}
+
+{% block content %}
+<nav class="tabs" aria-label="Soort contacten">
+    <a href="{{ url_for('contacten.overzicht', tab='lijsten') }}" class="{{ 'actief' if tab == 'lijsten' }}">📇 Contactlijsten in mailboxen</a>
+    <a href="{{ url_for('contacten.overzicht', tab='adresboek') }}" class="{{ 'actief' if tab == 'adresboek' }}">👥 Adresboek van de organisatie</a>
+</nav>
+
+{% if fout %}<div class="alert alert-danger">{{ fout }}</div>{% endif %}
+
+{# ======================= 1. Contactlijsten ======================= #}
+{% if tab == 'lijsten' %}
+<div class="card">
+    <h2 class="card-title">📇 Contactlijsten in de mailboxen</h2>
+    <p class="field-hint" style="margin-top:-6px">Een lijst is een label in Google Contacten (bv. "School - Directie") met vaste contacten.
+        PIVOT zet die contacten in de persoonlijke contacten van iedereen in de gekozen OU's en houdt ze bij: aanpassen of verwijderen
+        in de lijst doet PIVOT ook in de mailboxen. Andere contacten van de gebruikers blijven onaangeroerd.</p>
+
+    <div id="voortgangKaart" {{ '' if status.bezig or status.resultaat or status.fout else 'hidden' }} style="margin-bottom:14px">
+        <div class="small"><strong id="sLijst">{{ status.lijst or '' }}</strong> · <b id="tVoortgang">{{ status.voortgang }}</b> / <b id="tTotaal">{{ status.totaal }}</b> mailboxen{% if status.fouten %} · ⚠️ {{ status.fouten }}{% endif %}</div>
+        <div class="voortgang"><div id="balk"></div></div>
+        <div class="alert alert-success" id="resultaat" style="margin:6px 0 0" {{ '' if status.resultaat and not status.bezig else 'hidden' }}>{{ status.resultaat or '' }}</div>
+        <div class="alert alert-danger" id="foutmelding" style="margin:6px 0 0" {{ '' if status.fout else 'hidden' }}>{{ status.fout or '' }}</div>
+        <ul class="muted small" id="foutvoorbeelden">{% for f in status.foutvoorbeelden %}<li>{{ f }}</li>{% endfor %}</ul>
+    </div>
+
+    {% if lijsten is defined %}
+    <div class="lijst-kaarten">
+        {% for l in lijsten %}
+        <a class="lijst-kaart {{ 'actief' if gekozen and gekozen.ID == l.ID }}" href="{{ url_for('contacten.overzicht', tab='lijsten', lijst=l.ID) }}">
+            <strong>📇 {{ l.Naam }}</strong>
+            <span class="muted">{{ l.aantal }} contact(en) · {{ l.ous|join(', ') or 'geen OU' }}</span><br>
+            <span class="muted">{% if l.Laatste_sync %}In de mailboxen sinds {{ l.Laatste_sync.strftime('%d-%m-%Y %H:%M') }}{% else %}Nog niet naar de mailboxen gestuurd{% endif %}</span>
+        </a>
+        {% endfor %}
+        <a class="lijst-kaart nieuw" href="{{ url_for('contacten.overzicht', tab='lijsten', nieuw=1) }}">➕ Nieuwe lijst</a>
+    </div>
+    {% endif %}
+</div>
+
+{% if gekozen or nieuw %}
+{% set l = gekozen or {} %}
+<div class="card" id="lijstKaart">
+    <div class="page-head" style="margin-bottom:8px">
+        <h2>{{ '✏️ ' ~ l.Naam if gekozen else '➕ Nieuwe contactlijst' }}</h2>
+        <div class="actions">
+            {% if gekozen %}
+            <button type="button" class="btn-danger btn-sm" id="lijstWeg">🗑️ Lijst verwijderen</button>
+            <button type="button" class="btn-light btn-sm" id="lijstSync" title="Nu (opnieuw) in alle mailboxen zetten">▶ Naar de mailboxen</button>
+            {% endif %}
+            <button type="button" class="btn-success btn-sm" id="lijstBewaar">💾 Bewaren</button>
+        </div>
+    </div>
+    {% if gekozen and gekozen.Resultaat %}<p class="muted small" style="margin-top:0">Laatste keer: {{ gekozen.Resultaat }}</p>{% endif %}
+    <div class="lijst-raster">
+        <div>
+            <div class="field"><label for="lNaam">Naam van de lijst (label in Google Contacten)</label>
+                <input type="text" id="lNaam" value="{{ l.Naam or '' }}" maxlength="100" placeholder="bv. School - Directie en secretariaat"></div>
+            {% if gekozen and gekozen.Laatste_sync %}<p class="field-hint">Wijzig je de naam of de OU's, dan past PIVOT dat na het bewaren ook in de mailboxen aan.</p>{% endif %}
+        </div>
+        <div class="field">
+            <label>Voor wie (OU's)</label>
+            <div class="ou-kader" id="ouKader">
+                {% for ou in ous %}<label><input type="checkbox" value="{{ ou }}" {{ 'checked' if ou in (l.ous or []) }}> {{ ou }}</label>{% endfor %}
+            </div>
+            <label class="klein-vink"><input type="checkbox" id="lSub" {{ 'checked' if (l.Met_sub_ous if gekozen else 1) }}> Ook de onderliggende OU's</label>
+        </div>
+    </div>
+
+    <h3 style="margin:18px 0 8px">Contacten in deze lijst</h3>
+    <div class="table-wrap">
+        <table>
+            <thead><tr><th>Voornaam</th><th>Achternaam</th><th>Organisatie</th><th>Functie</th><th>E-mail</th><th>Telefoon</th><th>Notitie</th><th></th></tr></thead>
+            <tbody id="items"></tbody>
+        </table>
+    </div>
+    <div class="balk">
+        <button type="button" class="btn-light btn-sm" id="rijErbij">➕ Contact toevoegen</button>
+        <span class="muted small">Tip: plak meerdere regels uit Excel (voornaam, achternaam, organisatie, functie, e-mail, telefoon) in het eerste veld.</span>
+    </div>
+    <p class="field-hint">Vereist in de domeinbrede delegatie: <code>https://www.googleapis.com/auth/contacts</code>, en de
+        <strong>People API</strong> moet aanstaan in het Google Cloud-project van het serviceaccount.</p>
+</div>
+{% endif %}
+{% endif %}
+
+{# ======================= 2. Adresboek ======================= #}
+{% if tab == 'adresboek' %}
+<div class="card">
+    <h2 class="card-title">👥 Adresboek van de organisatie</h2>
+    <p class="field-hint" style="margin-top:-6px">Wie verborgen is, verschijnt niet meer in het adresboek van de school en niet bij het
+        aanvullen van e-mailadressen in Gmail (bv. leerlingen verbergen voor elkaar). De mailbox zelf blijft gewoon werken.</p>
+    <form class="balk" method="GET" action="{{ url_for('contacten.overzicht') }}" onchange="showLoader(); this.submit()">
+        <input type="hidden" name="tab" value="adresboek">
+        <select name="ou" aria-label="OU">
+            <option value="">— kies een OU —</option>
+            {% for o in ous or [] %}<option value="{{ o }}" {{ 'selected' if o == ou }}>{{ o }}</option>{% endfor %}
+        </select>
+        <input type="hidden" name="sub" value="0">
+        <label class="klein-vink" style="margin:0"><input type="checkbox" name="sub" value="1" {{ 'checked' if met_sub }}> met onderliggende OU's</label>
+    </form>
+
+    {% if ou and gebruikers is defined %}
+        {% if gebruikers %}
+        {% set verborgen = gebruikers|rejectattr('zichtbaar')|list|length %}
+        <div class="balk">
+            <input type="search" class="zoek" data-doel="adresBody" placeholder="Zoek op naam of e-mail..." aria-label="Zoeken">
+            <span class="muted small">{{ gebruikers|length }} gebruiker(s) · <b id="aantalVerborgen">{{ verborgen }}</b> verborgen</span>
+            <div class="rechts">
+                <button type="button" class="btn-sm btn-light" data-zet="0" data-wie="gekozen" disabled>🙈 Geselecteerden verbergen</button>
+                <button type="button" class="btn-sm btn-light" data-zet="1" data-wie="gekozen" disabled>👁 Geselecteerden tonen</button>
+                <button type="button" class="btn-sm btn-danger" data-zet="0" data-wie="alle">🙈 Iedereen verbergen</button>
+                <button type="button" class="btn-sm btn-success" data-zet="1" data-wie="alle">👁 Iedereen tonen</button>
+            </div>
+        </div>
+        <div class="table-wrap">
+            <table>
+                <thead><tr><th style="width:28px"><input type="checkbox" id="allesKiezen" style="width:auto;margin:0"></th>
+                    <th>Naam</th><th>E-mail</th><th>OU</th><th>In het adresboek</th><th></th></tr></thead>
+                <tbody id="adresBody">
+                {% for u in gebruikers %}
+                    <tr data-email="{{ u.email }}">
+                        <td><input type="checkbox" class="kies" style="width:auto;margin:0"></td>
+                        <td><strong>{{ u.naam }}</strong>{% if u.geschorst %} <span class="badge badge-warning">geschorst</span>{% endif %}</td>
+                        <td class="small">{{ u.email }}</td>
+                        <td class="small muted">{{ u.ou }}</td>
+                        <td class="zichtcel">{% if u.zichtbaar %}<span class="zicht ja">zichtbaar</span>{% else %}<span class="zicht nee">verborgen</span>{% endif %}</td>
+                        <td class="acties"><button type="button" class="btn-sm btn-light wissel">{{ '🙈 Verbergen' if u.zichtbaar else '👁 Tonen' }}</button></td>
+                    </tr>
+                {% endfor %}
+                </tbody>
+            </table>
+        </div>
+        {% else %}<p class="muted">Geen gebruikers in deze OU.</p>{% endif %}
+    {% elif not fout %}<p class="muted">Kies een OU.</p>{% endif %}
+    <p class="field-hint" style="margin-top:14px">Of het adresboek voor iedereen zichtbaar is, stel je in de Admin-console in
+        (Directory › Instellingen voor directory › Zichtbaarheid); dat kan niet via de API.</p>
+</div>
+{% endif %}
+{% endblock %}
+
+{% block scripts %}
+<script>
+    const post = (url, data) => fetch(url, { method: 'POST', credentials: 'same-origin',
+        headers: { 'Content-Type': 'application/json' }, body: JSON.stringify(data || {}) }).then(r => r.json());
+    window.addEventListener('click', e => { if (e.target.classList && e.target.classList.contains('modal')) e.target.style.display = 'none'; });
+
+    // Zoeken + paginering (generiek voor de tabellen met een zoekveld)
+    document.querySelectorAll('input.zoek').forEach(veld => {
+        const body = document.getElementById(veld.dataset.doel);
+        if (!body) return;
+        const kaart = body.closest('.card'), voet = document.createElement('div');
+        voet.className = 'tabel-voet';
+        voet.innerHTML = '<div class="muted small teller"></div><nav class="paginering"></nav>';
+        body.closest('.table-wrap').after(voet);
+        const kiezer = document.createElement('span');
+        veld.after(kiezer);
+        const rijen = Array.from(body.rows);
+        let PER = perPagina('contacten-' + veld.dataset.doel, 25), pagina = 1, z = '';
+        function toon() {
+            const lijst = rijen.filter(tr => !z || tr.textContent.toLowerCase().includes(z));
+            const grootte = PER || Infinity, paginas = Math.max(1, Math.ceil(lijst.length / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER ? (pagina - 1) * PER : 0, tot = van + grootte;
+            rijen.forEach(tr => tr.style.display = 'none');
+            lijst.forEach((tr, i) => tr.style.display = i >= van && i < tot ? '' : 'none');
+            voet.querySelector('.teller').textContent = lijst.length ? `${van + 1}–${Math.min(tot, lijst.length)} van ${lijst.length}` : 'Niets gevonden';
+            const nav = voet.querySelector('nav'); nav.innerHTML = '';
+            if (paginas > 1) {
+                const knop = (t, p, a) => { const b = document.createElement('button'); b.type = 'button'; b.textContent = t;
+                    b.className = 'btn-sm ' + (a ? 'btn-secondary' : 'btn-light'); b.onclick = () => { pagina = p; toon(); }; nav.appendChild(b); };
+                if (pagina > 1) { knop('«', 1); knop('‹', pagina - 1); }
+                for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+                if (pagina < paginas) { knop('›', pagina + 1); knop('»', paginas); }
+            }
+        }
+        veld.addEventListener('input', () => { z = veld.value.trim().toLowerCase(); pagina = 1; toon(); });
+        perPaginaKiezer(kiezer, 'contacten-' + veld.dataset.doel, n => { PER = n; pagina = 1; toon(); }, 25);
+        toon();
+    });
+
+{% if tab == 'adresboek' %}
+    (function () {
+        const body = document.getElementById('adresBody');
+        if (!body) return;
+        const rijen = Array.from(body.rows);
+        const gekozen = () => rijen.filter(tr => tr.querySelector('.kies').checked);
+        const tel = () => document.querySelectorAll('[data-wie="gekozen"]').forEach(b => b.disabled = !gekozen().length);
+        body.addEventListener('change', tel);
+        document.getElementById('allesKiezen').addEventListener('change', e => {
+            rijen.filter(tr => tr.style.display !== 'none').forEach(tr => tr.querySelector('.kies').checked = e.target.checked); tel();
+        });
+        function zet(trs, zichtbaar) {
+            if (!trs.length) return;
+            const tekst = `${trs.length} gebruiker(s) ${zichtbaar ? 'tonen in' : 'verbergen uit'} het adresboek van de organisatie?`;
+            if (trs.length > 1 && !confirm(tekst)) return;
+            showLoader('Bezig met Google...');
+            post({{ url_for('contacten.adresboek')|tojson }}, { emails: trs.map(tr => tr.dataset.email), zichtbaar }).then(r => {
+                hideLoader();
+                const fout = new Set((r.fouten || []).map(f => f.split(':')[0]));
+                trs.forEach(tr => {
+                    if (fout.has(tr.dataset.email)) return;
+                    tr.querySelector('.zichtcel').innerHTML = zichtbaar ? '<span class="zicht ja">zichtbaar</span>' : '<span class="zicht nee">verborgen</span>';
+                    tr.querySelector('.wissel').textContent = zichtbaar ? '🙈 Verbergen' : '👁 Tonen';
+                    tr.querySelector('.kies').checked = false;
+                });
+                document.getElementById('aantalVerborgen').textContent = rijen.filter(tr => tr.querySelector('.zicht.nee')).length;
+                tel();
+                if (r.fout || (r.fouten || []).length) alert(r.fout || ('Mislukt:\n' + r.fouten.slice(0, 5).join('\n')));
+            }).catch(() => { hideLoader(); alert('Er ging iets mis.'); });
+        }
+        body.addEventListener('click', e => {
+            const b = e.target.closest('.wissel'); if (!b) return;
+            const tr = b.closest('tr'); zet([tr], !tr.querySelector('.zicht.ja'));
+        });
+        document.querySelectorAll('[data-zet]').forEach(b => b.addEventListener('click', () =>
+            zet(b.dataset.wie === 'alle' ? rijen : gekozen(), b.dataset.zet === '1')));
+    })();
+{% endif %}
+
+{% if tab == 'lijsten' %}
+    const URL_STATUS = {{ url_for('contacten.status')|tojson }};
+    function kijk() {
+        fetch(URL_STATUS, { credentials: 'same-origin' }).then(r => r.json()).then(s => {
+            const k = document.getElementById('voortgangKaart'); k.hidden = false;
+            document.getElementById('sLijst').textContent = s.lijst || '';
+            document.getElementById('tVoortgang').textContent = s.voortgang; document.getElementById('tTotaal').textContent = s.totaal;
+            document.getElementById('balk').style.width = (s.totaal ? Math.round(100 * s.voortgang / s.totaal) : (s.bezig ? 3 : 100)) + '%';
+            const res = document.getElementById('resultaat'), fout = document.getElementById('foutmelding');
+            res.hidden = !(s.resultaat && !s.bezig); res.textContent = s.resultaat || '';
+            fout.hidden = !s.fout; fout.textContent = s.fout || '';
+            document.getElementById('foutvoorbeelden').innerHTML = (s.foutvoorbeelden || []).map(f => `<li>${f.replace(/</g, '&lt;')}</li>`).join('');
+            if (s.bezig) setTimeout(kijk, 1500);
+        }).catch(() => setTimeout(kijk, 4000));
+    }
+    {% if status.bezig %}kijk();{% endif %}
+
+    {% if gekozen or nieuw %}
+    (function () {
+        const ITEMS = {{ (gekozen['items'] if gekozen else [])|tojson }};
+        const LIJST_ID = {{ (gekozen.ID if gekozen else none)|tojson }};
+        const VELDEN = ['Voornaam', 'Achternaam', 'Organisatie', 'Functie', 'Email', 'Telefoon', 'Notitie'];
+        const SLEUTELS = ['voornaam', 'achternaam', 'organisatie', 'functie', 'email', 'telefoon', 'notitie'];
+        const body = document.getElementById('items');
+        const esc = t => String(t ?? '').replace(/[&<>"]/g, c => ({ '&': '&amp;', '<': '&lt;', '>': '&gt;', '"': '&quot;' })[c]);
+        function rij(i) {
+            const tr = document.createElement('tr');
+            tr.dataset.id = i.ID || '';
+            tr.innerHTML = VELDEN.map((v, n) => `<td><input type="${v === 'Email' ? 'email' : 'text'}" data-k="${SLEUTELS[n]}" value="${esc(i[v])}"></td>`).join('')
+                + '<td class="acties"><button type="button" class="btn-sm btn-ghost weg" title="Weghalen">🗑️</button></td>';
+            body.appendChild(tr);
+            return tr;
+        }
+        ITEMS.forEach(rij);
+        if (!ITEMS.length) rij({});
+        document.getElementById('rijErbij').onclick = () => rij({}).querySelector('input').focus();
+        body.addEventListener('click', e => { if (e.target.closest('.weg')) e.target.closest('tr').remove(); });
+        // Plakken uit Excel: meerdere regels met tabs → meerdere rijen
+        body.addEventListener('paste', e => {
+            const tekst = (e.clipboardData || window.clipboardData).getData('text');
+            if (!tekst.includes('\t') && !tekst.includes('\n')) return;
+            e.preventDefault();
+            const startTr = e.target.closest('tr');
+            tekst.replace(/\r/g, '').split('\n').filter(r => r.trim()).forEach((regel, n) => {
+                const tr = n === 0 && startTr && !Array.from(startTr.querySelectorAll('input')).some(i => i.value) ? startTr : rij({});
+                regel.split('\t').slice(0, VELDEN.length).forEach((w, k) => tr.querySelectorAll('input')[k].value = w.trim());
+            });
+        });
+        const verzamel = () => ({
+            id: LIJST_ID, naam: document.getElementById('lNaam').value,
+            ous: Array.from(document.querySelectorAll('#ouKader input:checked')).map(x => x.value),
+            met_sub: document.getElementById('lSub').checked,
+            items: Array.from(body.rows).map(tr => Object.assign({ id: tr.dataset.id },
+                Object.fromEntries(Array.from(tr.querySelectorAll('input')).map(i => [i.dataset.k, i.value]))))
+        });
+        document.getElementById('lijstBewaar').onclick = () => {
+            const d = verzamel();
+            if (!d.ous.length && !confirm('Er is nog geen OU gekozen: de lijst gaat dan naar niemand. Toch bewaren?')) return;
+            showLoader('Bewaren...');
+            post({{ url_for('contacten.lijst_bewaren')|tojson }}, d).then(r => {
+                if (!r.ok) { hideLoader(); alert(r.fout || 'Bewaren mislukt.'); return; }
+                location.href = {{ url_for('contacten.overzicht', tab='lijsten')|tojson }} + '&lijst=' + r.id;
+            }).catch(() => { hideLoader(); alert('Bewaren mislukt.'); });
+        };
+        {% if gekozen %}
+        document.getElementById('lijstSync').onclick = () => {
+            if (!confirm('De contacten van deze lijst nu in alle mailboxen van de gekozen OU\'s zetten (of bijwerken)?\nBewaar eerst je wijzigingen.')) return;
+            post({{ url_for('contacten.lijst_sync', lijst_id=gekozen.ID)|tojson }}).then(r => {
+                if (!r.ok) { alert(r.fout || 'Starten mislukt.'); return; }
+                kijk(); window.scrollTo({ top: 0, behavior: 'smooth' });
+            });
+        };
+        document.getElementById('lijstWeg').onclick = () => {
+            if (!confirm('Deze lijst verwijderen?' + ({{ (gekozen.Laatste_sync is not none)|tojson }}
+                ? '\n\nPIVOT haalt de contacten en het label dan ook uit alle mailboxen.' : ''))) return;
+            post({{ url_for('contacten.lijst_verwijderen', lijst_id=gekozen.ID)|tojson }}).then(r => {
+                if (!r.ok) { alert(r.fout || 'Verwijderen mislukt.'); return; }
+                if (r.gestart) { kijk(); document.getElementById('lijstKaart').remove(); }
+                else location.href = {{ url_for('contacten.overzicht', tab='lijsten')|tojson }};
+            });
+        };
+        {% endif %}
+    })();
+    {% endif %}
+{% endif %}
+</script>
+{% endblock %}
diff --git a/templates/dashboard.html b/templates/dashboard.html
new file mode 100644
index 0000000..2ca1642
--- /dev/null
+++ b/templates/dashboard.html
@@ -0,0 +1,257 @@
+{% extends "base.html" %}
+
+{% block title %}Dashboard{% endblock %}
+{% block page_title %}Dashboard{% endblock %}
+{% block header_nav %}{% endblock %}
+
+{% block content %}
+
+<div class="tile-grid">
+    {% if mag('toestellen_beheren', 'eigendom_bekijken', 'toestellen_uitdelen', 'herstellingen', 'signpost') %}
+    <section class="tile">
+        <div class="tile-head"><span class="tile-icon">
+            {# Het icoon van Chrome zelf (google.com/chrome); lukt dat niet, dan het gewone icoon #}
+            <img src="https://www.google.com/chrome/static/images/favicons/favicon-32x32.png" alt="" width="24" height="24"
+                 onerror="this.replaceWith(document.createTextNode('💻'))">
+        </span><h3>Chromebooks</h3></div>
+        <ul class="tile-links">
+            {% if mag('toestellen_beheren') %}<li><a href="{{ url_for('devices.inventaris_toestellen') }}">💻 Alle toestellen</a></li>{% endif %}
+            {% if mag('eigendom_bekijken') %}<li><a href="{{ url_for('devices.inventaris_eigendom') }}">🏷️ Eigendom bekijken</a></li>{% endif %}
+            {% if mag('toestellen_uitdelen') %}
+            <li><a href="{{ url_for('devices.inleveren_page') }}">📥 Toestel inleveren</a></li>
+            <li><a href="{{ url_for('devices.uitdelen_page') }}">📤 Toestel uitdelen</a></li>
+            {% endif %}
+            {% if mag('signpost') %}<li><a href="{{ url_for('signpost_devices.signpost_database_overzicht') }}">📄 Signpost-toestellen</a></li>{% endif %}
+            {% if mag('herstellingen') %}<li><a href="{{ url_for('repairs.herstellingen') }}">🛠️ Signpost herstellingen</a></li>{% endif %}
+        </ul>
+    </section>
+    {% endif %}
+
+    {% if mag('google_wachtwoord', 'google_accounts', 'tweestaps_codes', 'tweestaps_uitzetten', 'google_licenties', 'gedeelde_drives') %}
+    <section class="tile">
+        <div class="tile-head"><span class="tile-icon">
+            {# Het icoon van Google zelf (google.com); lukt dat niet, dan het gewone icoon #}
+            <img src="https://www.google.com/favicon.ico" alt="" width="24" height="24"
+                 onerror="this.replaceWith(document.createTextNode('🔑'))">
+        </span><h3>Google</h3></div>
+        <ul class="tile-links">
+            {% if mag('google_wachtwoord', 'google_accounts') %}<li><a href="{{ url_for('google.password_reset') }}">🔑 Wachtwoord resetten</a></li>{% endif %}
+            {% if mag('tweestaps_codes', 'tweestaps_uitzetten') %}<li><a href="{{ url_for('tweestaps.overzicht') }}">🛡️ 2FA-hulp</a></li>{% endif %}
+            {% if mag('google_licenties') %}<li><a href="{{ url_for('google_licenties.overzicht') }}">🎓 Licenties</a></li>{% endif %}
+            {% if mag('gedeelde_drives') %}<li><a href="{{ url_for('gedeelde_drives.overzicht') }}" onclick="showLoader('Gedeelde drives ophalen bij Google...')">🗂️ Gedeelde drives</a></li>{% endif %}
+        </ul>
+    </section>
+    {% endif %}
+
+    {% if mag('gmail_delegatie', 'verzendlijsten', 'gmail_labels', 'gmail_handtekeningen', 'gmail_contacten') %}
+    <section class="tile">
+        <div class="tile-head"><span class="tile-icon">
+            {# Het icoon van Gmail zelf; lukt dat niet, dan het gewone icoon #}
+            <img src="https://ssl.gstatic.com/ui/v1/icons/mail/rfr/gmail.ico" alt="" width="24" height="24"
+                 onerror="this.replaceWith(document.createTextNode('✉️'))">
+        </span><h3>Gmail</h3></div>
+        <ul class="tile-links">
+            {% if mag('gmail_delegatie') %}<li><a href="{{ url_for('gmail_delegatie.overzicht') }}">✉️ Mailbox-delegatie</a></li>{% endif %}
+            {% if mag('verzendlijsten') %}<li><a href="{{ url_for('verzendlijsten.overzicht') }}" onclick="showLoader('Verzendlijsten ophalen bij Google...')">📮 Verzendlijsten</a></li>{% endif %}
+            {% if mag('gmail_labels') %}<li><a href="{{ url_for('gmail_labels.overzicht') }}">🏷️ Mails verplaatsen</a></li>{% endif %}
+            {% if mag('gmail_handtekeningen') %}<li><a href="{{ url_for('handtekeningen.overzicht') }}">✍️ Handtekeningen</a></li>{% endif %}
+            {% if mag('gmail_contacten') %}<li><a href="{{ url_for('contacten.overzicht') }}">📇 Contacten</a></li>{% endif %}
+        </ul>
+    </section>
+    {% endif %}
+
+    {% if mag('smartschool', 'smartschool_activiteit', 'afwezigheden', 'laatkomers', 'skore', 'sgr_groepen') %}
+    {% set ss_platform = (school.waarden.get('SS_API_PLATFORM') if school else '') or '' %}
+    {% set ss_platform = ss_platform.replace('https://', '').replace('http://', '').strip('/') %}
+    <section class="tile">
+        <div class="tile-head"><span class="tile-icon">
+            {# Het icoon van het eigen Smartschool-platform; lukt dat niet, dan het gewone icoon #}
+            {% if ss_platform %}<img src="https://{{ ss_platform }}/favicon.ico" alt="" width="26" height="26" style="border-radius:5px"
+                 onerror="this.replaceWith(document.createTextNode('🏫'))">{% else %}🏫{% endif %}
+        </span><h3>Smartschool</h3></div>
+        <ul class="tile-links">
+            {% if mag('smartschool') %}<li><a href="{{ url_for('/ss.smartschool') }}">🏫 Wachtwoord &amp; info</a></li>{% endif %}
+            {% if mag('smartschool_activiteit') %}
+            <li><a href="{{ url_for('smartschool.coaccount_overzicht') }}">📈 Co-accounts</a></li>
+            <li><a href="{{ url_for('smartschool.coaccount_overzicht') }}">📧 Bericht verzenden</a></li>
+            {% endif %}
+            {% if mag('afwezigheden') %}<li><a href="{{ url_for('afwezigheden.overzicht') }}">🚩 Afwezigheden (B-codes)</a></li>{% endif %}
+            {% if mag('laatkomers') %}<li><a href="{{ url_for('afwezigheden.laatkomers') }}">⏰ Laatkomers</a></li>{% endif %}
+            {% if mag('skore') %}<li><a href="{{ url_for('skore.overzicht') }}">🔁 Skore-synchronisatie</a></li>{% endif %}
+            {% if mag('sgr_groepen') %}<li><a href="{{ url_for('sgr_groepen.overzicht') }}">👥 SGR groepen</a></li>{% endif %}
+        </ul>
+    </section>
+    {% endif %}
+
+    {% if mag('leerlingen_bekijken', 'leerlingenaantal') %}
+    <section class="tile">
+        <div class="tile-head"><span class="tile-icon">🎒</span><h3>Leerlingen</h3></div>
+        <ul class="tile-links">
+            {% if mag('leerlingen_bekijken') %}<li><a href="{{ url_for('students.inventaris_leerlingen') }}">👥 Leerlingen</a></li>{% endif %}
+            {% if mag('leerlingenaantal') %}<li><a href="{{ url_for('leerlingenaantal.leerlingenaantal_page') }}">📊 Leerlingenaantallen</a></li>{% endif %}
+        </ul>
+    </section>
+    {% endif %}
+
+    {% if mag('internen', 'internaat_aanwezigheid') %}
+    <section class="tile">
+        <div class="tile-head"><span class="tile-icon">🛏️</span><h3>Internaat</h3></div>
+        <ul class="tile-links">
+            {% if mag('internen') %}<li><a href="{{ url_for('internaat.internen') }}" onclick="showLoader('Internen ophalen uit Informat...')">🧑‍🎓 Internen</a></li>{% endif %}
+            {% if mag('internaat_aanwezigheid') %}<li><a href="{{ url_for('internaat.aanwezigheden') }}" onclick="showLoader('Register laden...')">✅ Aanwezigheden</a></li>{% endif %}
+        </ul>
+    </section>
+    {% endif %}
+
+    {% if school and school.waarden.get('ONDERWIJSNIVEAU') == 'basis' and mag('bingel') %}
+    <section class="tile">
+        <div class="tile-head"><span class="tile-icon">🎨</span><h3>Basisonderwijs</h3></div>
+        <ul class="tile-links">
+            <li><a href="{{ url_for('basisonderwijs.bingel') }}" onclick="showLoader('Leerlingen ophalen uit Informat...')">📗 Bingel</a></li>
+        </ul>
+    </section>
+    {% endif %}
+
+    {% if mag('leerlingfacturatie') %}
+    <section class="tile">
+        <div class="tile-head"><span class="tile-icon">🧾</span><h3>Leerlingfacturatie</h3></div>
+        <ul class="tile-links">
+            <li><a href="{{ url_for('facturatie.overzicht') }}" onclick="showLoader('Facturen ophalen uit Informat...')">💶 Facturen</a></li>
+        </ul>
+    </section>
+    {% endif %}
+
+    {% if mag('gopro', 'personeelsaantal') %}
+    <section class="tile">
+        <div class="tile-head"><span class="tile-icon">🧑‍🏫</span><h3>Personeel</h3></div>
+        <ul class="tile-links">
+            {% if mag('gopro') %}<li><a href="{{ url_for('gopro.overzicht') }}" onclick="showLoader('Personeel ophalen uit Informat...')">🪪 GO! Pro</a></li>{% endif %}
+            {% if mag('gopro') %}<li><a href="{{ url_for('gopro.verzameltabel') }}">📚 Verzameltabel GO! Pro</a></li>{% endif %}
+            {% if mag('personeelsaantal') %}<li><a href="{{ url_for('personeelsaantal.personeelsaantal_page') }}">📊 Personeelsaantallen</a></li>{% endif %}
+        </ul>
+    </section>
+    {% endif %}
+
+    <section class="tile">
+        <div class="tile-head"><span class="tile-icon">🗓️</span><h3>Afwezigheden &amp; activiteiten</h3></div>
+        <ul class="tile-links">
+            <li><a href="{{ url_for('personeel.nieuw', soort='afwezigheid') }}">🤒 Afwezigheid melden</a></li>
+            <li><a href="{{ url_for('personeel.mijn') }}">📋 Nascholing / uitstap aanvragen</a></li>
+            {% if 'directie' in personeel_rollen %}
+            <li><a href="{{ url_for('personeel.beoordelen') }}">✅ Te beoordelen</a></li>
+            {% endif %}
+            {% if 'secretariaat' in personeel_rollen %}
+            <li><a href="{{ url_for('personeel.dagoverzicht') }}">🗓️ Dagoverzicht secretariaat</a></li>
+            {% endif %}
+        </ul>
+    </section>
+
+    <section class="tile tile-bug">
+        <div class="tile-head"><span class="tile-icon">🐞</span><h3>Bugs</h3></div>
+        <ul class="tile-links">
+            <li><a href="{{ url_for('bugreport.bugreport') }}">🐞 Bug rapporteren</a></li>
+            {% if mag('bugs_bekijken', 'bugs_beheren') %}<li><a href="{{ url_for('bugreport_overzicht.bugreport_overzicht') }}">📕 Bugs bekijken</a></li>{% endif %}
+        </ul>
+    </section>
+
+    {% if mag_handleidingen() %}
+    {% set hls = handleidingen_lijst() %}
+    <section class="tile tile-handleiding">
+        <div class="tile-head"><span class="tile-icon">📘</span><h3>Handleidingen</h3></div>
+        <ul class="tile-links">
+            {% for h in hls[:5] %}
+            <li><a href="{{ url_for('handleidingen.bekijk', slug=h.Slug) }}">📄 {{ h.Titel }}</a></li>
+            {% endfor %}
+            <li><a href="{{ url_for('handleidingen.overzicht') }}">📚 {{ 'Alle handleidingen' if hls else 'Handleidingen' }}{% if hls|length > 5 %} ({{ hls|length }}){% endif %}</a></li>
+        </ul>
+    </section>
+    {% endif %}
+
+    <section class="tile tile-scholengroep">
+        <div class="tile-head"><span class="tile-icon">
+            <img src="{{ url_for('static', filename='img/go-logo.png') }}" alt="" width="26" height="26" style="display:block;border-radius:5px">
+        </span><h3>Scholengroep</h3></div>
+        <ul class="tile-links">
+            {# Helpdesk van de scholengroep (osTicket): voor iedereen, opent in een nieuw tabblad #}
+            <li><a href="http://helpdesk.go-antwerpen.be/" target="_blank" rel="noopener">
+                <img src="http://helpdesk.go-antwerpen.be/favicon.ico" alt="" width="16" height="16"
+                     style="vertical-align:-3px;margin-right:2px"
+                     onerror="this.replaceWith(document.createTextNode('🎫'))"> Helpdesk</a></li>
+        </ul>
+    </section>
+
+    {% if mag('qr_codes') %}
+    <section class="tile tile-tools">
+        <div class="tile-head"><span class="tile-icon">🧰</span><h3>Tools</h3></div>
+        <ul class="tile-links">
+            <li><a href="{{ url_for('qr_generator.qr_generator') }}">💡 QR-code generator</a></li>
+        </ul>
+    </section>
+    {% endif %}
+
+    {% if school %}
+    {% set web_domein = (school.domein or '').strip().lower() %}
+    {% set ss_url = ((school.waarden.get('SS_API_PLATFORM') or '').replace('https://', '').replace('http://', '').strip().strip('/')) %}
+    {% if web_domein or ss_url %}
+    <section class="tile">
+        <div class="tile-head"><span class="tile-icon">🏫</span><h3>Links</h3></div>
+        <ul class="tile-links">
+            {% if web_domein %}
+            {% set web = web_domein if web_domein.startswith('www.') else 'www.' ~ web_domein %}
+            <li><a href="https://{{ web }}" target="_blank" rel="noopener">🌐 {{ web_domein }}</a></li>
+            {% endif %}
+            {% if ss_url %}<li><a href="https://{{ ss_url }}" target="_blank" rel="noopener"><img src="https://{{ ss_url }}/favicon.ico" alt="" width="16" height="16"
+                 style="vertical-align:-3px;margin-right:6px;border-radius:3px" onerror="this.replaceWith(document.createTextNode('📘 '))">Smartschool</a></li>{% endif %}
+        </ul>
+    </section>
+    {% endif %}
+    {% endif %}
+</div>
+
+{% if mag('co2', 'koppelingen', 'gebruikersbeheer', 'nieuw_schooljaar', 'ip_whitelist') or is_admin or is_superbeheerder %}
+<div class="dash-section-title admin">⚙️ Beheer</div>
+
+<div class="tile-grid">
+    {% if mag('gebruikersbeheer', 'koppelingen') or is_superbeheerder %}
+    <section class="tile tile-admin">
+        <div class="tile-head"><span class="tile-icon">🏢</span><h3>PIVOT</h3></div>
+        <ul class="tile-links">
+            {% if mag('gebruikersbeheer') %}<li><a href="{{ url_for('admin.settings') }}">🔐 Gebruikers &amp; rechten</a></li>{% endif %}
+            {% if mag('koppelingen') %}<li><a href="{{ url_for('scholen.mijn_school') }}">🔌 Koppelingen van deze school</a></li>{% endif %}
+            {% if is_superbeheerder %}<li><a href="{{ url_for('scholen.overzicht') }}">🏫 Alle scholen beheren</a></li>{% endif %}
+        </ul>
+    </section>
+    {% endif %}
+
+    {% if is_admin or mag('ip_whitelist') %}
+    <section class="tile tile-admin">
+        <div class="tile-head"><span class="tile-icon">🛡️</span><h3>Beveiliging</h3></div>
+        <ul class="tile-links">
+            {% if is_admin %}<li><a href="{{ url_for('ipblokkade.overzicht') }}">🚫 IP-blokkades</a></li>
+            {% else %}<li><a href="{{ url_for('ipblokkade.overzicht') }}">✅ Toegestane IP-adressen</a></li>{% endif %}
+        </ul>
+    </section>
+    {% endif %}
+
+    {% if mag('co2') or is_admin %}
+    <section class="tile tile-admin">
+        <div class="tile-head"><span class="tile-icon">🌐</span><h3>IoT</h3></div>
+        <ul class="tile-links">
+            {% if is_admin %}<li><a href="{{ url_for('tools.internet_status') }}">🌐 Internet status</a></li>{% endif %}
+            {% if mag('co2') %}<li><a href="{{ url_for('co2_sensor.dashboard') }}">🌬️ CO2-sensor uitlezen</a></li>{% endif %}
+        </ul>
+    </section>
+    {% endif %}
+
+    {% if mag('nieuw_schooljaar') %}
+    <section class="tile tile-admin">
+        <div class="tile-head"><span class="tile-icon">📚</span><h3>Nieuw schooljaar</h3></div>
+        <ul class="tile-links">
+            <li><a href="{{ url_for('accounts_verplaatsen.accounts_verplaatsen') }}">👥 Accounts</a></li>
+            <li><a href="{{ url_for('toestellen_verplaatsen.move_toestellen') }}">💻 Devices</a></li>
+        </ul>
+    </section>
+    {% endif %}
+</div>
+{% endif %}
+{% endblock %}
diff --git a/templates/facturatie.html b/templates/facturatie.html
new file mode 100644
index 0000000..76ba698
--- /dev/null
+++ b/templates/facturatie.html
@@ -0,0 +1,213 @@
+{% extends "base.html" %}
+
+{% block title %}Leerlingfacturatie{% endblock %}
+{% block page_title %}Leerlingfacturatie{% endblock %}
+{% block main_class %}wide{% endblock %}
+{% block loader_text %}Facturen ophalen uit Informat...{% endblock %}
+
+{% block extra_css %}
+<style>
+    .filter-bar { display: flex; flex-wrap: wrap; gap: 10px; align-items: center; margin: 12px 0; }
+    .filter-bar input[type=search] { flex: 0 1 300px; }
+    .filter-bar select { width: auto; min-width: 0; }
+    .statusfilter { display: flex; flex-wrap: wrap; gap: 6px; }
+    .statusfilter button { all: unset; box-sizing: border-box; cursor: pointer; padding: 5px 12px; border-radius: 999px;
+                           border: 1px solid var(--border); font-size: .88em; color: var(--text-muted, #64748b); }
+    .statusfilter button b { margin-left: 4px; color: var(--text, #1e293b); }
+    .statusfilter button.actief { border-color: var(--primary-color); color: var(--primary-color); background: var(--primary-light); font-weight: 600; }
+    .totalen { display: grid; grid-template-columns: repeat(4, minmax(0, 1fr)); gap: 10px; margin: 6px 0 14px; }
+    .totalen div { border: 1px solid var(--border); border-radius: var(--radius); padding: 10px 14px; }
+    .totalen span { display: block; font-size: .8em; color: var(--text-muted, #64748b); text-transform: uppercase; letter-spacing: .04em; }
+    .totalen strong { font-size: 1.25rem; font-variant-numeric: tabular-nums; }
+    .totalen .open strong { color: #b91c1c; }
+    @media (max-width: 700px) { .totalen { grid-template-columns: repeat(2, minmax(0, 1fr)); } }
+    td.bedrag, th.bedrag { text-align: right; font-variant-numeric: tabular-nums; white-space: nowrap; }
+    td.nowrap { white-space: nowrap; }
+    td.mono { font-family: ui-monospace, SFMono-Regular, Menlo, monospace; font-size: .86em; white-space: nowrap; }
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>🧾 Facturen leerlingen · {{ school_naam }}</h2>
+        <div class="actions">
+            <form method="GET" action="{{ url_for('facturatie.overzicht') }}" style="margin:0" onchange="showLoader(); this.submit()">
+                <select name="schooljaar" aria-label="Schooljaar">
+                    {% for j in jaren %}<option value="{{ j }}" {{ 'selected' if j == schooljaar }}>Schooljaar {{ j }}</option>{% endfor %}
+                </select>
+            </form>
+            {% if rijen %}<a class="btn btn-light btn-sm" id="exportKnop" href="{{ url_for('facturatie.export', schooljaar=schooljaar) }}">⬇️ CSV</a>{% endif %}
+            <a class="btn btn-secondary btn-sm" href="{{ url_for('facturatie.overzicht', schooljaar=schooljaar, vernieuw=1) }}" onclick="showLoader()">🔄 Opnieuw ophalen</a>
+        </div>
+    </div>
+
+    {% if fout %}
+        <div class="alert alert-danger">{{ fout }}</div>
+    {% elif not rijen %}
+        <p class="muted">Geen geboekte facturen gevonden voor schooljaar {{ schooljaar }}{% if groepen %} ({{ groepen|length }} factuurgroep(en) voor leerlingen){% endif %}.</p>
+    {% else %}
+        <div class="totalen" aria-live="polite">
+            <div><span>Facturen</span><strong id="tAantal">0</strong></div>
+            <div><span>Totaal</span><strong id="tTotaal">€ 0,00</strong></div>
+            <div><span>Betaald</span><strong id="tBetaald">€ 0,00</strong></div>
+            <div class="open"><span>Nog te betalen</span><strong id="tOpen">€ 0,00</strong></div>
+        </div>
+
+        <div class="filter-bar">
+            <div class="statusfilter" role="group" aria-label="Status">
+                <button type="button" class="actief" data-status="">Alle <b data-tel=""></b></button>
+                <button type="button" data-status="onbetaald">Nog te betalen <b data-tel="onbetaald"></b></button>
+                <button type="button" data-status="betaald">Betaald <b data-tel="betaald"></b></button>
+                <button type="button" data-status="credit">Creditnota's <b data-tel="credit"></b></button>
+            </div>
+        </div>
+        <div class="filter-bar">
+            <input type="search" id="zoek" placeholder="Zoek op leerling, klas, stamnummer of mededeling..." aria-label="Zoeken">
+            {% if groepen|length > 1 %}
+            <select id="groep" aria-label="Factuurgroep">
+                <option value="">Alle factuurgroepen</option>
+                {% for g in groepen %}<option value="{{ g.id }}">{{ g.naam }}</option>{% endfor %}
+            </select>
+            {% endif %}
+            <span id="perPagina"></span>
+            <span class="muted small">Opgehaald uit Informat op {{ opgehaald }}</span>
+        </div>
+
+        <div class="table-wrap">
+            <table>
+                <thead>
+                    <tr>
+                        <th class="sorteer" data-tekst>Leerling <span class="pijl"></span></th>
+                        <th class="sorteer" data-tekst>Klas <span class="pijl"></span></th>
+                        <th class="sorteer" data-tekst>Factuurgroep <span class="pijl"></span></th>
+                        <th class="sorteer">Datum <span class="pijl"></span></th>
+                        <th class="sorteer">Vervaldag <span class="pijl"></span></th>
+                        <th class="sorteer bedrag">Totaal <span class="pijl"></span></th>
+                        <th class="sorteer bedrag">Betaald <span class="pijl"></span></th>
+                        <th class="sorteer bedrag">Open <span class="pijl"></span></th>
+                        <th class="sorteer" data-tekst>Status <span class="pijl"></span></th>
+                        <th class="sorteer" data-tekst>Mededeling <span class="pijl"></span></th>
+                        <th class="actions"></th>
+                    </tr>
+                </thead>
+                <tbody id="body">
+                {% for r in rijen %}
+                    {% set vervallen = r.status in ('open', 'gedeeltelijk') and r.vervaldag and r.vervaldag < today %}
+                    <tr data-status="{{ r.status }}" data-groep="{{ r.groep_id }}" data-totaal="{{ r.totaal * r.teken }}" data-betaald="{{ r.betaald * r.teken }}" data-open="{{ r.open * r.teken }}">
+                        <td data-sort="{{ r.naam }} {{ r.voornaam }}"><strong>{{ r.naam }}</strong> {{ r.voornaam }}{% if r.stamnummer %}<br><span class="muted small">stamnr. {{ r.stamnummer }}</span>{% endif %}</td>
+                        <td class="nowrap" data-sort="{{ r.klas }} {{ '%03d'|format(r.klasnummer or 0) }}">{{ r.klas }}{% if r.klasnummer %} <span class="muted small">nr. {{ r.klasnummer }}</span>{% endif %}</td>
+                        <td data-sort="{{ r.groep }}">{{ r.groep }}</td>
+                        <td class="nowrap" data-sort="{{ r.datum.isoformat() if r.datum else '' }}">{{ r.datum.strftime('%d-%m-%Y') if r.datum else '' }}</td>
+                        <td class="nowrap" data-sort="{{ r.vervaldag.isoformat() if r.vervaldag else '' }}">{{ r.vervaldag.strftime('%d-%m-%Y') if r.vervaldag else '' }}</td>
+                        <td class="bedrag" data-sort="{{ '%012.2f'|format(r.totaal * r.teken + 1000000) }}">{{ '− ' if r.teken < 0 }}{{ '€ %.2f'|format(r.totaal)|replace('.', ',') }}</td>
+                        <td class="bedrag" data-sort="{{ '%012.2f'|format(r.betaald + 1000000) }}">{{ '€ %.2f'|format(r.betaald)|replace('.', ',') }}</td>
+                        <td class="bedrag" data-sort="{{ '%012.2f'|format(r.open + 1000000) }}">{% if r.open %}<strong>{{ '€ %.2f'|format(r.open)|replace('.', ',') }}</strong>{% else %}€ 0,00{% endif %}</td>
+                        <td data-sort="{{ labels[r.status] }}">
+                            {% if r.status == 'betaald' %}<span class="badge badge-success">Betaald</span>
+                            {% elif r.status == 'credit' %}<span class="badge badge-info">Creditnota</span>
+                            {% elif vervallen %}<span class="badge badge-danger" title="Vervaldag {{ r.vervaldag.strftime('%d-%m-%Y') }} is voorbij">Vervallen</span>
+                            {% elif r.status == 'gedeeltelijk' %}<span class="badge badge-warning">Gedeeltelijk</span>
+                            {% else %}<span class="badge badge-warning">Open</span>{% endif %}
+                        </td>
+                        <td class="mono" data-sort="{{ r.ogm }}">{% if r.ogm|length == 12 %}+++{{ r.ogm[:3] }}/{{ r.ogm[3:7] }}/{{ r.ogm[7:] }}+++{% else %}{{ r.ogm }}{% endif %}
+                            {%- if r.ogm_factuur %}<br><span class="muted small" title="Mededeling van de factuur waarbij deze creditnota hoort">bij {{ r.ogm_factuur }}</span>{% endif %}</td>
+                        <td class="actions">
+                            <a class="btn btn-sm btn-light" target="_blank" rel="noopener"
+                               href="{{ url_for('facturatie.pdf', toegangsgroep=r.toegangsgroep, invoice_id=r.id, schooljaar=schooljaar, naam=('Factuur ' ~ r.naam ~ ' ' ~ r.voornaam ~ ' ' ~ (r.datum.isoformat() if r.datum else ''))|trim) }}"
+                               title="PDF openen">📄 PDF</a>
+                        </td>
+                    </tr>
+                {% endfor %}
+                </tbody>
+            </table>
+        </div>
+        <div class="tabel-voet">
+            <div class="muted small" id="teller"></div>
+            <nav class="paginering" id="paginering" aria-label="Pagina's"></nav>
+        </div>
+    {% endif %}
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    (function () {
+        const body = document.getElementById('body');
+        if (!body) return;
+        const zoekveld = document.getElementById('zoek'), groepSel = document.getElementById('groep');
+        const exp = document.getElementById('exportKnop'), basisExport = exp ? exp.href : '';
+        let PER_PAGINA = perPagina('facturatie'), pagina = 1, zoek = '', status = '', groep = '';
+        const euro = n => '€ ' + n.toLocaleString('nl-BE', { minimumFractionDigits: 2, maximumFractionDigits: 2 });
+        const past = (tr, st) => !st || (st === 'onbetaald' ? ['open', 'gedeeltelijk'].includes(tr.dataset.status) : tr.dataset.status === st);
+        const basis = tr => (!groep || tr.dataset.groep === groep) && (!zoek || tr.textContent.toLowerCase().includes(zoek));
+
+        function toon() {
+            const kandidaten = Array.from(body.rows).filter(basis);
+            document.querySelectorAll('.statusfilter b[data-tel]').forEach(b => b.textContent = kandidaten.filter(tr => past(tr, b.dataset.tel)).length);
+            const rijen = kandidaten.filter(tr => past(tr, status));
+            const som = k => rijen.reduce((t, tr) => t + parseFloat(tr.dataset[k] || 0), 0);
+            document.getElementById('tAantal').textContent = rijen.length;
+            document.getElementById('tTotaal').textContent = euro(som('totaal'));
+            document.getElementById('tBetaald').textContent = euro(som('betaald'));
+            document.getElementById('tOpen').textContent = euro(som('open'));
+            const grootte = PER_PAGINA || Infinity, paginas = Math.max(1, Math.ceil(rijen.length / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER_PAGINA ? (pagina - 1) * PER_PAGINA : 0, tot = van + grootte;
+            Array.from(body.rows).forEach(tr => tr.style.display = 'none');
+            rijen.forEach((tr, i) => tr.style.display = (i >= van && i < tot) ? '' : 'none');
+            document.getElementById('teller').textContent = rijen.length
+                ? `${van + 1}–${Math.min(tot, rijen.length)} van ${rijen.length}` : 'Niets gevonden';
+            const nav = document.getElementById('paginering');
+            nav.innerHTML = '';
+            if (exp) {
+                const p = new URLSearchParams(new URL(basisExport).search);
+                if (groep) p.set('groep', groep); if (status) p.set('status', status); if (zoek) p.set('zoek', zoek);
+                exp.href = basisExport.split('?')[0] + '?' + p.toString();
+            }
+            if (paginas <= 1) return;
+            const knop = (label, p, actief) => {
+                const b = document.createElement('button');
+                b.type = 'button'; b.textContent = label; b.className = 'btn-sm ' + (actief ? 'btn-secondary' : 'btn-light');
+                b.onclick = () => { pagina = p; toon(); };
+                nav.appendChild(b);
+            };
+            if (pagina > 1) { knop('«', 1); knop('‹ Vorige', pagina - 1); }
+            for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+            if (pagina < paginas) { knop('Volgende ›', pagina + 1); knop('»', paginas); }
+        }
+
+        zoekveld.addEventListener('input', () => { zoek = zoekveld.value.trim().toLowerCase(); pagina = 1; toon(); });
+        if (groepSel) groepSel.addEventListener('change', () => { groep = groepSel.value; pagina = 1; toon(); });
+        document.querySelectorAll('.statusfilter button').forEach(b => b.addEventListener('click', () => {
+            status = b.dataset.status;
+            document.querySelectorAll('.statusfilter button').forEach(x => x.classList.toggle('actief', x === b));
+            pagina = 1; toon();
+        }));
+        let kol = null, op = true;
+        document.querySelectorAll('th.sorteer').forEach(th => th.addEventListener('click', () => {
+            const k = th.cellIndex;
+            op = kol === k ? !op : 'tekst' in th.dataset;
+            kol = k;
+            document.querySelectorAll('th.sorteer').forEach(x => x.classList.remove('op', 'af'));
+            th.classList.add(op ? 'op' : 'af');
+            Array.from(body.rows).sort((a, b) => {
+                const x = a.cells[k].dataset.sort || '', y = b.cells[k].dataset.sort || '';
+                if (!x !== !y) return x ? -1 : 1;
+                const c = x.localeCompare(y, 'nl', { numeric: true, sensitivity: 'base' });
+                return op ? c : -c;
+            }).forEach(tr => body.appendChild(tr));
+            pagina = 1; toon();
+        }));
+        perPaginaKiezer(document.getElementById('perPagina'), 'facturatie', n => { PER_PAGINA = n; pagina = 1; toon(); });
+        toon();
+    })();
+</script>
+{% endblock %}
diff --git a/templates/gedeelde_drives.html b/templates/gedeelde_drives.html
new file mode 100644
index 0000000..3f2ed68
--- /dev/null
+++ b/templates/gedeelde_drives.html
@@ -0,0 +1,320 @@
+{% extends "base.html" %}
+
+{% block title %}Gedeelde drives{% endblock %}
+{% block page_title %}Gedeelde drives{% endblock %}
+{% block main_class %}wide{% endblock %}
+{% block loader_text %}Gedeelde drives ophalen bij Google...{% endblock %}
+
+{% block extra_css %}
+<style>
+    [hidden] { display: none !important; }
+    .balk { display: flex; flex-wrap: wrap; gap: 10px; align-items: center; margin: 12px 0; }
+    .balk input[type=search] { flex: 0 1 320px; margin: 0; }
+    .filters { display: flex; flex-wrap: wrap; gap: 8px; }
+    .filters button { width: auto; margin: 0; padding: 4px 12px; border-radius: 999px; background: var(--surface-muted);
+                      border: 1px solid var(--border); font-size: .88em; color: inherit; font-weight: 400; cursor: pointer; }
+    .filters button[aria-pressed="true"] { border-color: var(--primary-color); background: var(--primary-light); color: var(--primary-color); font-weight: 600; }
+    .filters button.let { background: #fef3c7; border-color: #fcd34d; }
+    .filters button.let[aria-pressed="true"] { background: #fde68a; color: #92400e; }
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+    td.getal { text-align: right; white-space: nowrap; }
+    tr.klik { cursor: pointer; }
+    tr.klik:hover td { background: var(--primary-light); }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+    .toevoegen { display: grid; grid-template-columns: minmax(220px, 2fr) minmax(160px, 1fr) auto auto; gap: 10px; align-items: end; }
+    .toevoegen .field { margin: 0; }
+    @media (max-width: 800px) { .toevoegen { grid-template-columns: 1fr; } }
+    td.acties { white-space: nowrap; text-align: right; }
+    td.acties form { display: inline; margin: 0; }
+    td.acties select { width: auto; margin: 0; padding: 4px 8px; font-size: 13px; }
+    .type { font-size: .8em; padding: 1px 8px; border-radius: 999px; background: var(--surface-muted); }
+</style>
+{% endblock %}
+
+{% block content %}
+{% if lid_van is not none %}
+{# ======================= Waar is iemand lid van? ======================= #}
+<div class="card">
+    <div class="page-head">
+        <h2>🔎 {{ lid }}</h2>
+        <div class="actions"><a class="btn btn-light btn-sm" href="{{ url_for('gedeelde_drives.overzicht') }}">← Alle gedeelde drives</a></div>
+    </div>
+    {% if fout %}<div class="alert alert-danger">{{ fout }}</div>
+    {% elif not lid_van %}
+        <p class="muted">{{ lid }} is op geen enkele gedeelde drive lid (rechtstreeks; lidmaatschap via een Google-groep telt hier niet mee).</p>
+    {% else %}
+        <p class="muted small" style="margin-top:-6px">Lid van {{ lid_van|length }} gedeelde drive(s) (rechtstreeks; lidmaatschap via een Google-groep telt hier niet mee).</p>
+        <div class="table-wrap"><table>
+            {% set meerdere = (lid_van|map(attribute='email')|unique|list|length) > 1 or '@' not in lid %}
+            <thead><tr><th>Drive</th>{% if meerdere %}<th>Lid</th>{% endif %}<th>Rol</th><th></th></tr></thead>
+            <tbody>{% for d in lid_van %}
+                <tr><td><a href="{{ url_for('gedeelde_drives.overzicht', drive=d.drive) }}" onclick="showLoader()"><strong>{{ d.naam }}</strong></a></td>
+                    {% if meerdere %}<td class="small">{{ d.wie }}{% if d.wie != d.email %}<br><span class="muted">{{ d.email }}</span>{% endif %}</td>{% endif %}
+                    <td>{{ d.rol_naam }}</td>
+                    <td class="acties"><a class="btn btn-light btn-sm" href="https://drive.google.com/drive/folders/{{ d.drive }}" target="_blank" rel="noopener">Openen in Drive ↗</a></td></tr>
+            {% endfor %}</tbody>
+        </table></div>
+        {% if '@' in lid %}
+        <form class="balk" method="GET" action="{{ url_for('gedeelde_drives.overzicht') }}" onsubmit="showLoader()" style="margin-top:14px">
+            <input type="hidden" name="oud" value="{{ lid }}">
+            <span>🔁 Op al deze drives vervangen door</span>
+            <input type="email" name="nieuw" required placeholder="nieuwe gebruiker (e-mail)" style="flex:0 1 280px;margin:0">
+            <button type="submit" class="btn-light btn-sm" style="margin:0">Verder</button>
+        </form>
+        {% endif %}
+    {% endif %}
+</div>
+
+{% elif vervang %}
+{# ======================= Gebruiker vervangen ======================= #}
+<div class="card">
+    <div class="page-head">
+        <h2>🔁 {{ vervang.oud }} → {{ vervang.nieuw or '?' }}</h2>
+        <div class="actions"><a class="btn btn-light btn-sm" href="{{ url_for('gedeelde_drives.overzicht') }}">← Alle gedeelde drives</a></div>
+    </div>
+    {% if fout %}<div class="alert alert-danger">{{ fout }}</div>
+    {% elif resultaat is not none %}
+        {% set ok = resultaat|selectattr('ok')|list|length %}
+        <div class="alert {{ 'alert-success' if ok == resultaat|length else 'alert-warning' }}">{{ ok }} van {{ resultaat|length }} drive(s) aangepast.</div>
+        <div class="table-wrap"><table>
+            <thead><tr><th>Drive</th><th></th><th>Resultaat</th></tr></thead>
+            <tbody>{% for r in resultaat %}<tr><td><strong>{{ r.naam }}</strong></td><td>{{ '✅' if r.ok else '⚠️' }}</td><td class="small">{{ r.melding }}</td></tr>{% endfor %}</tbody>
+        </table></div>
+    {% elif not vervang.drives %}
+        <p class="muted">{{ vervang.oud }} is op geen enkele gedeelde drive lid.</p>
+    {% else %}
+        <p class="muted small" style="margin-top:-6px">{{ vervang.oud }} is lid van {{ vervang.drives|length }} gedeelde drive(s).
+            {{ vervang.nieuw }} krijgt op elke aangevinkte drive exact dezelfde rol (ook als die er al lid van was).</p>
+        <form method="POST" action="{{ url_for('gedeelde_drives.vervangen') }}"
+              onsubmit="if (!this.querySelector('input[name=drive]:checked')) { alert('Vink minstens één drive aan.'); return false; }
+                        if (!confirm({{ (vervang.oud ~ ' vervangen door ' ~ vervang.nieuw ~ ' op de aangevinkte drives?')|tojson|forceescape }})) return false; showLoader('Vervangen...');">
+            <input type="hidden" name="oud" value="{{ vervang.oud }}"><input type="hidden" name="nieuw" value="{{ vervang.nieuw }}">
+            <div class="table-wrap"><table>
+                <thead><tr><th style="width:28px"><input type="checkbox" checked style="width:auto;margin:0" onchange="this.closest('table').querySelectorAll('input[name=drive]').forEach(x => x.checked = this.checked)"></th>
+                    <th>Drive</th><th>Rol van {{ vervang.oud }}</th></tr></thead>
+                <tbody>{% for d in vervang.drives %}
+                    <tr><td><input type="checkbox" name="drive" value="{{ d.drive }}" checked style="width:auto;margin:0"></td>
+                        <td><a href="{{ url_for('gedeelde_drives.overzicht', drive=d.drive) }}">{{ d.naam }}</a></td><td>{{ d.rol_naam }}</td></tr>
+                {% endfor %}</tbody>
+            </table></div>
+            <div class="balk">
+                <label style="display:flex;gap:6px;align-items:center;margin:0;font-weight:400"><input type="checkbox" name="verwijderen" value="1" checked style="width:auto;margin:0"> {{ vervang.oud }} daarna verwijderen</label>
+                <label style="display:flex;gap:6px;align-items:center;margin:0;font-weight:400"><input type="checkbox" name="melding" value="1" style="width:auto;margin:0"> e-mail sturen naar {{ vervang.nieuw }}</label>
+                <button type="submit" class="btn-success" style="margin:0 0 0 auto">🔁 Vervangen</button>
+            </div>
+        </form>
+    {% endif %}
+</div>
+
+{% elif gekozen %}
+{# ======================= Detail van één drive ======================= #}
+<div class="card">
+    <div class="page-head">
+        <h2>🗂️ {{ gekozen.naam }}</h2>
+        <div class="actions">
+            <a class="btn btn-light btn-sm" href="{{ url_for('gedeelde_drives.overzicht') }}">← Alle gedeelde drives</a>
+            <a class="btn btn-light btn-sm" href="https://drive.google.com/drive/folders/{{ gekozen.id }}" target="_blank" rel="noopener">Openen in Drive ↗</a>
+        </div>
+    </div>
+    <p class="muted small" style="margin-top:-6px">{{ gekozen.leden }} lid/leden · {{ gekozen.beheerders }} beheerder(s)
+        {% if gekozen.aangemaakt %} · aangemaakt {{ gekozen.aangemaakt }}{% endif %}</p>
+    {% if not gekozen.beheerders %}<div class="alert alert-warning">⚠️ Deze drive heeft geen beheerder. Voeg hieronder iemand toe als <strong>Beheerder</strong>.</div>{% endif %}
+    {% if gekozen.extern %}<div class="alert alert-warning">🌍 {{ gekozen.extern }} lid/leden van buiten de school.</div>{% endif %}
+
+    <form class="toevoegen" method="POST" action="{{ url_for('gedeelde_drives.lid_toevoegen') }}" onsubmit="showLoader('Toevoegen...')">
+        <input type="hidden" name="drive" value="{{ gekozen.id }}"><input type="hidden" name="naam" value="{{ gekozen.naam }}">
+        <div class="field"><label for="email">Persoon of groep (e-mailadres)</label>
+            <input type="email" id="email" name="email" required placeholder="bv. jan.peeters@school.be of leerkrachten@school.be"></div>
+        <div class="field"><label for="rol">Rol</label>
+            <select id="rol" name="rol">{% for r, n in rollen %}<option value="{{ r }}" {{ 'selected' if r == 'writer' }}>{{ n }}</option>{% endfor %}</select></div>
+        <label style="display:flex;gap:6px;align-items:center;margin:0 0 10px;font-weight:400"><input type="checkbox" name="melding" value="1" style="width:auto;margin:0"> e-mail sturen</label>
+        <button type="submit" class="btn-success" style="margin:0 0 2px">➕ Toevoegen</button>
+    </form>
+
+    <div class="table-wrap" style="margin-top:16px">
+        <table>
+            <thead><tr><th>Naam</th><th>E-mail</th><th>Soort</th><th>Rol</th><th></th></tr></thead>
+            <tbody>
+            {% for l in leden %}
+                <tr>
+                    <td><strong>{{ l.naam or '—' }}</strong>{% if l.extern %} <span class="badge badge-warning" title="Buiten de school">extern</span>{% endif %}
+                        {% if l.verwijderd %} <span class="badge badge-danger">account verwijderd</span>{% endif %}</td>
+                    <td class="small">{{ l.email }}</td>
+                    <td><span class="type">{{ {'user': 'persoon', 'group': 'groep', 'domain': 'domein', 'anyone': 'iedereen met link'}.get(l.type, l.type) }}</span></td>
+                    <td class="acties" style="text-align:left">
+                        <form method="POST" action="{{ url_for('gedeelde_drives.lid_wijzigen') }}">
+                            <input type="hidden" name="drive" value="{{ gekozen.id }}"><input type="hidden" name="naam" value="{{ gekozen.naam }}">
+                            <input type="hidden" name="perm" value="{{ l.id }}"><input type="hidden" name="email" value="{{ l.email or l.naam }}">
+                            <select name="rol" onchange="if (confirm({{ ('Rol van ' ~ (l.email or l.naam) ~ ' wijzigen?')|tojson|forceescape }})) { showLoader(); this.form.submit(); } else { this.value = {{ l.rol|tojson|forceescape }}; }">
+                                {% for r, n in rollen %}<option value="{{ r }}" {{ 'selected' if r == l.rol }}>{{ n }}</option>{% endfor %}
+                            </select>
+                        </form>
+                    </td>
+                    <td class="acties">
+                        <form method="POST" action="{{ url_for('gedeelde_drives.lid_verwijderen') }}"
+                              onsubmit="if (!confirm({{ ((l.email or l.naam) ~ ' uit ' ~ gekozen.naam ~ ' verwijderen?')|tojson|forceescape }})) return false; showLoader();">
+                            <input type="hidden" name="drive" value="{{ gekozen.id }}"><input type="hidden" name="naam" value="{{ gekozen.naam }}">
+                            <input type="hidden" name="perm" value="{{ l.id }}"><input type="hidden" name="email" value="{{ l.email or l.naam }}">
+                            <button type="submit" class="btn-sm btn-ghost" title="Verwijderen">🗑️</button>
+                        </form>
+                    </td>
+                </tr>
+            {% else %}
+                <tr><td colspan="5" class="muted">Deze drive heeft geen leden.</td></tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+    <p class="field-hint" style="margin-top:12px"><strong>Beheerder</strong>: alles, ook leden beheren · <strong>Inhoudsbeheerder</strong>:
+        bestanden toevoegen, bewerken, verplaatsen en verwijderen · <strong>Bijdrager</strong>: toevoegen en bewerken ·
+        <strong>Reageerder</strong>: bekijken en reageren · <strong>Lezer</strong>: enkel bekijken.</p>
+</div>
+
+{% else %}
+{# ======================= Overzicht ======================= #}
+<div class="card">
+    <div class="page-head">
+        <h2>🗂️ Gedeelde drives <span class="muted small">({{ drives|length }})</span></h2>
+        <div class="actions">
+            <button type="button" class="btn-success btn-sm" onclick="document.getElementById('nieuwVenster').style.display='block'">➕ Nieuwe gedeelde drive</button>
+            <a class="btn btn-secondary btn-sm" href="{{ url_for('gedeelde_drives.overzicht', vernieuw=1) }}" onclick="showLoader()">🔄 Opnieuw ophalen</a>
+        </div>
+    </div>
+    <form class="balk" method="GET" action="{{ url_for('gedeelde_drives.overzicht') }}" onsubmit="showLoader('Drives van deze gebruiker zoeken...')"
+          style="padding:12px 14px;border:1px solid var(--border);border-radius:var(--radius);margin:0 0 10px">
+        <strong style="white-space:nowrap">🔎 Waar is iemand lid van?</strong>
+        <input type="text" name="lid" required placeholder="e-mailadres, of een deel van de naam of het adres" style="flex:1 1 300px;margin:0">
+        <button type="submit" class="btn-light btn-sm" style="margin:0">Zoeken</button>
+    </form>
+    <form class="balk" method="GET" action="{{ url_for('gedeelde_drives.overzicht') }}" onsubmit="showLoader('Drives van deze gebruiker zoeken...')"
+          style="padding:12px 14px;border:1px solid var(--border);border-radius:var(--radius);margin-top:0">
+        <strong style="white-space:nowrap">🔁 Gebruiker vervangen</strong>
+        <input type="email" name="oud" required placeholder="oude gebruiker (e-mail)" style="flex:1 1 220px;margin:0">
+        <span>→</span>
+        <input type="email" name="nieuw" required placeholder="nieuwe gebruiker (e-mail)" style="flex:1 1 220px;margin:0">
+        <button type="submit" class="btn-light btn-sm" style="margin:0">Drives zoeken</button>
+    </form>
+    {% if fout %}
+        <div class="alert alert-danger">{{ fout }}</div>
+    {% elif not drives %}
+        <p class="muted">Er zijn nog geen gedeelde drives in dit domein.</p>
+    {% else %}
+        {% set zonder = drives|selectattr('beheerders', 'equalto', 0)|list|length %}
+        {% set ext = drives|selectattr('extern')|list|length %}
+        <div class="balk">
+            <input type="search" id="zoek" placeholder="Zoek een drive..." aria-label="Zoeken">
+            <div class="filters" id="filters">
+                <button type="button" data-filter="" aria-pressed="true">Alle <b>{{ drives|length }}</b></button>
+                {% if zonder %}<button type="button" class="let" data-filter="zonder" aria-pressed="false">Zonder beheerder <b>{{ zonder }}</b></button>{% endif %}
+                {% if ext %}<button type="button" class="let" data-filter="extern" aria-pressed="false">Met externe leden <b>{{ ext }}</b></button>{% endif %}
+            </div>
+            <span id="perPagina"></span>
+            <span class="muted small">Opgehaald op {{ opgehaald }}</span>
+        </div>
+        <div class="table-wrap">
+            <table>
+                <thead><tr>
+                    <th class="sorteer" data-tekst>Naam <span class="pijl"></span></th>
+                    <th class="sorteer">Leden <span class="pijl"></span></th>
+                    <th class="sorteer">Beheerders <span class="pijl"></span></th>
+                    <th class="sorteer">Groepen <span class="pijl"></span></th>
+                    <th class="sorteer">Extern <span class="pijl"></span></th>
+                    <th class="sorteer">Aangemaakt <span class="pijl"></span></th>
+                </tr></thead>
+                <tbody id="body">
+                {% for d in drives %}
+                    <tr class="klik" data-href="{{ url_for('gedeelde_drives.overzicht', drive=d.id) }}"
+                        data-filters="{{ 'zonder' if not d.beheerders }} {{ 'extern' if d.extern }}">
+                        <td data-sort="{{ d.naam }}"><strong>{{ d.naam }}</strong>{% if d.fout %} <span class="badge badge-danger" title="{{ d.fout }}">leden niet op te halen</span>{% endif %}</td>
+                        <td class="getal" data-sort="{{ d.leden }}">{{ d.leden }}</td>
+                        <td class="getal" data-sort="{{ d.beheerders }}">{% if d.beheerders %}{{ d.beheerders }}{% else %}<span class="badge badge-danger">geen</span>{% endif %}</td>
+                        <td class="getal" data-sort="{{ d.groepen }}">{{ d.groepen or '' }}</td>
+                        <td class="getal" data-sort="{{ d.extern }}">{% if d.extern %}<span class="badge badge-warning">{{ d.extern }}</span>{% endif %}</td>
+                        <td data-sort="{{ d.aangemaakt }}" class="small">{{ d.aangemaakt }}</td>
+                    </tr>
+                {% endfor %}
+                </tbody>
+            </table>
+        </div>
+        <div class="tabel-voet">
+            <div class="muted small" id="teller"></div>
+            <nav class="paginering" id="paginering" aria-label="Pagina's"></nav>
+        </div>
+    {% endif %}
+    <p class="field-hint" style="margin-top:14px">Vereist in de domeinbrede delegatie: <code>https://www.googleapis.com/auth/drive</code>,
+        en de <strong>Google Drive API</strong> moet aanstaan in het Cloud-project van het serviceaccount.</p>
+</div>
+{% endif %}
+{% endblock %}
+
+{% block modals %}
+<div id="nieuwVenster" class="modal">
+    <div class="modal-content">
+        <span class="close" onclick="document.getElementById('nieuwVenster').style.display='none'">&times;</span>
+        <h3>➕ Nieuwe gedeelde drive</h3>
+        <form method="POST" action="{{ url_for('gedeelde_drives.nieuw') }}" onsubmit="showLoader('Aanmaken...')">
+            <div class="field"><label>Naam</label><input type="text" name="naam" required maxlength="100"></div>
+            <div class="field"><label>Beheerder (optioneel)</label><input type="email" name="beheerder" placeholder="e-mailadres van persoon of groep">
+                <p class="field-hint">De beheerder van PIVOT wordt automatisch ook beheerder van de nieuwe drive.</p></div>
+            <button type="submit" class="btn-block">Aanmaken</button>
+        </form>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    window.addEventListener('click', e => { if (e.target.id === 'nieuwVenster') e.target.style.display = 'none'; });
+    (function () {
+        const body = document.getElementById('body');
+        if (!body) return;
+        const rijen = Array.from(body.rows), zoek = document.getElementById('zoek');
+        let PER = perPagina('gedeelde-drives', 25), pagina = 1, filter = '';
+        body.addEventListener('click', e => { const tr = e.target.closest('tr.klik'); if (tr) { showLoader(); location.href = tr.dataset.href; } });
+        document.querySelectorAll('#filters button').forEach(b => b.addEventListener('click', () => {
+            filter = b.dataset.filter;
+            document.querySelectorAll('#filters button').forEach(x => x.setAttribute('aria-pressed', String(x === b)));
+            pagina = 1; toon();
+        }));
+        let kol = null, op = true;
+        document.querySelectorAll('th.sorteer').forEach(th => th.addEventListener('click', () => {
+            const k = th.cellIndex;
+            op = kol === k ? !op : 'tekst' in th.dataset; kol = k;
+            document.querySelectorAll('th.sorteer').forEach(x => x.classList.remove('op', 'af'));
+            th.classList.add(op ? 'op' : 'af');
+            rijen.sort((a, b) => {
+                const c = (a.cells[k].dataset.sort || '').localeCompare(b.cells[k].dataset.sort || '', 'nl', { numeric: true, sensitivity: 'base' });
+                return op ? c : -c;
+            }).forEach(tr => body.appendChild(tr));
+            pagina = 1; toon();
+        }));
+        function toon() {
+            const z = zoek.value.trim().toLowerCase();
+            const lijst = rijen.filter(tr => (!z || tr.cells[0].textContent.toLowerCase().includes(z))
+                && (!filter || tr.dataset.filters.split(' ').includes(filter)));
+            const grootte = PER || Infinity, paginas = Math.max(1, Math.ceil(lijst.length / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER ? (pagina - 1) * PER : 0, tot = van + grootte;
+            rijen.forEach(tr => tr.style.display = 'none');
+            lijst.forEach((tr, i) => tr.style.display = i >= van && i < tot ? '' : 'none');
+            document.getElementById('teller').textContent = lijst.length ? `${van + 1}–${Math.min(tot, lijst.length)} van ${lijst.length}` : 'Niets gevonden';
+            const nav = document.getElementById('paginering'); nav.innerHTML = '';
+            if (paginas > 1) {
+                const knop = (t, p, a) => { const b = document.createElement('button'); b.type = 'button'; b.textContent = t;
+                    b.className = 'btn-sm ' + (a ? 'btn-secondary' : 'btn-light'); b.onclick = () => { pagina = p; toon(); }; nav.appendChild(b); };
+                if (pagina > 1) { knop('«', 1); knop('‹', pagina - 1); }
+                for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+                if (pagina < paginas) { knop('›', pagina + 1); knop('»', paginas); }
+            }
+        }
+        zoek.addEventListener('input', () => { pagina = 1; toon(); });
+        perPaginaKiezer(document.getElementById('perPagina'), 'gedeelde-drives', n => { PER = n; pagina = 1; toon(); }, 25);
+        toon();
+    })();
+</script>
+{% endblock %}
diff --git a/templates/gmail_delegatie.html b/templates/gmail_delegatie.html
new file mode 100644
index 0000000..890ab1a
--- /dev/null
+++ b/templates/gmail_delegatie.html
@@ -0,0 +1,273 @@
+{% extends "base.html" %}
+
+{% block title %}Mailbox-delegatie{% endblock %}
+{% block page_title %}Mailbox-delegatie{% endblock %}
+{% block main_class %}medium{% endblock %}
+{% block loader_text %}Bezig met Google...{% endblock %}
+
+{% block extra_css %}
+<style>
+    .mailbox-head { display: flex; flex-wrap: wrap; align-items: center; gap: 14px; }
+    .avatar { width: 46px; height: 46px; border-radius: 50%; display: grid; place-items: center;
+              background: var(--primary-light); color: var(--primary-color); font-weight: 800; font-size: 18px; flex-shrink: 0; }
+    .mailbox-head .who { flex: 1; min-width: 200px; }
+    .mailbox-head .who strong { display: block; font-size: 1.1rem; }
+    .counter { font-size: 13px; color: var(--text-muted); }
+    .add-form { display: flex; flex-wrap: wrap; gap: 8px; margin-top: 18px; padding-top: 18px; border-top: 1px solid var(--border); }
+    .add-form input[type=email] { flex: 1 1 260px; width: auto; }
+    .pick-list { list-style: none; margin: 0; padding: 0; }
+    .pick-list a { display: flex; justify-content: space-between; gap: 12px; padding: 10px 12px; border-radius: var(--radius-sm);
+                   text-decoration: none; color: var(--text); }
+    .pick-list a:hover { background: var(--primary-light); }
+    .pick-list .ou { color: var(--text-muted); font-size: 13px; }
+    .ov-kop { display: flex; flex-wrap: wrap; align-items: center; justify-content: space-between; gap: 10px; }
+    .ov-kop .card-title { margin: 0; }
+    .ov-balk { display: flex; flex-wrap: wrap; gap: 10px; align-items: center; justify-content: space-between; margin: 14px 0 10px; }
+    .ov-balk input[type=search] { flex: 0 1 340px; }
+    .persoon strong { display: block; font-weight: 600; }
+    .persoon span { color: var(--text-muted); font-size: 13px; }
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+    .voortgang { height: 8px; border-radius: 999px; background: var(--surface-muted); overflow: hidden; margin-top: 8px; }
+    .voortgang div { height: 100%; width: 0; background: var(--primary-color); transition: width .4s; }
+</style>
+{% endblock %}
+
+{% block content %}
+{# ---------- Zoeken ---------- #}
+<div class="card">
+    <h2 class="card-title">✉️ Welke mailbox?</h2>
+    <form class="search-bar" method="GET" action="{{ url_for('gmail_delegatie.overzicht') }}" onsubmit="showLoader()" style="margin:0">
+        <input type="text" name="zoek" placeholder="Naam of e-mailadres van de mailbox, bv. secretariaat@..." value="{{ zoek or (mailbox.email if mailbox else '') }}" autofocus>
+        <button type="submit">🔍 Zoeken</button>
+    </form>
+
+    {% if zoekresultaten %}
+        <p class="muted small" style="margin:14px 0 6px">Kies een mailbox:</p>
+        <ul class="pick-list">
+        {% for u in zoekresultaten %}
+            <li><a href="{{ url_for('gmail_delegatie.overzicht', mailbox=u.email) }}" onclick="showLoader()">
+                <span><strong>{{ u.naam }}</strong> · {{ u.email }}</span><span class="ou">{{ u.ou }}</span>
+            </a></li>
+        {% endfor %}
+        </ul>
+    {% endif %}
+</div>
+
+{% if fout %}
+    <div class="flash-message error" style="margin-top:20px"><span>{{ fout }}</span></div>
+{% endif %}
+
+{# ---------- Gedelegeerden van de gekozen mailbox ---------- #}
+{% if mailbox %}
+<div class="card">
+    <div class="mailbox-head">
+        <span class="avatar">{{ (mailbox.naam or mailbox.email)[:1]|upper }}</span>
+        <div class="who">
+            <strong>{{ mailbox.naam or mailbox.email }}</strong>
+            <span class="muted">{{ mailbox.email }}{% if mailbox.ou %} · {{ mailbox.ou }}{% endif %}</span>
+            {% if mailbox.geschorst %}<span class="badge badge-warning">Geschorst</span>{% endif %}
+        </div>
+        <span class="counter">{{ delegates|length }} / {{ max_delegates }} gedelegeerden</span>
+    </div>
+
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr><th>Heeft toegang</th><th>Status</th><th class="actions">Actie</th></tr>
+            </thead>
+            <tbody>
+            {% for d in delegates %}
+                <tr>
+                    <td><strong>{{ d.email }}</strong></td>
+                    <td>
+                        {% if d.status == 'accepted' %}<span class="badge badge-success">{{ d.status_label }}</span>
+                        {% elif d.status == 'pending' %}<span class="badge badge-warning">{{ d.status_label }}</span>
+                        {% else %}<span class="badge">{{ d.status_label }}</span>{% endif %}
+                    </td>
+                    <td class="actions">
+                        <form method="POST" action="{{ url_for('gmail_delegatie.verwijderen') }}"
+                              onsubmit="if (!confirm('Toegang van {{ d.email }} tot {{ mailbox.email }} intrekken?')) return false; showLoader();">
+                            <input type="hidden" name="mailbox" value="{{ mailbox.email }}">
+                            <input type="hidden" name="delegate" value="{{ d.email }}">
+                            <button type="submit" class="btn-sm btn-danger">✕ Intrekken</button>
+                        </form>
+                    </td>
+                </tr>
+            {% else %}
+                <tr class="empty-row"><td colspan="3">Niemand anders heeft toegang tot deze mailbox.</td></tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+
+    {% if delegates|length < max_delegates %}
+    <form class="add-form" method="POST" action="{{ url_for('gmail_delegatie.toevoegen') }}" onsubmit="showLoader()">
+        <input type="hidden" name="mailbox" value="{{ mailbox.email }}">
+        <input type="email" name="delegate" required placeholder="E-mailadres van de collega die toegang krijgt">
+        <button type="submit" class="btn-success">➕ Toegang geven</button>
+    </form>
+    <p class="field-hint">Enkel accounts van jullie eigen Google Workspace. De collega ziet de mailbox binnen ongeveer een minuut via het profielmenu in Gmail.</p>
+    {% else %}
+    <div class="alert alert-warning" style="margin-top:16px">Deze mailbox heeft het maximum van {{ max_delegates }} gedelegeerden bereikt.</div>
+    {% endif %}
+</div>
+{% endif %}
+
+{# ---------- Alle lopende machtigingen ---------- #}
+<div class="card" id="overzicht">
+    <div class="ov-kop">
+        <h2 class="card-title">📋 Lopende machtigingen <span class="muted small">({{ machtigingen|length }})</span></h2>
+        <form method="POST" action="{{ url_for('gmail_delegatie.overzicht_vernieuwen') }}" style="margin:0">
+            <button type="submit" class="btn-light btn-sm" {{ 'disabled' if ov_status.bezig }}>🔄 Vernieuwen</button>
+        </form>
+    </div>
+    <p class="muted small" style="margin:6px 0 0">
+        {% if laatst and laatst.Opgehaald %}Alle mailboxen nagekeken op {{ laatst.Opgehaald.strftime('%d-%m-%Y om %H:%M') }}
+            ({{ laatst.Mailboxen }} mailboxen{% if laatst.Fouten %}, {{ laatst.Fouten }} niet bevraagbaar{% endif %}).
+            Wijzigingen via PIVOT staan er meteen in.
+        {% else %}Nog niet opgehaald.{% endif %}
+    </p>
+    {% if ov_fout %}<div class="alert alert-danger" style="margin-top:12px">{{ ov_fout }}</div>{% endif %}
+    {% if ov_status.fout and not ov_status.bezig %}<div class="alert alert-danger" style="margin-top:12px">Ophalen mislukt: {{ ov_status.fout }}</div>{% endif %}
+    <div id="ovBezig" {{ '' if ov_status.bezig else 'hidden' }} style="margin-top:12px">
+        <span class="muted small" id="ovTekst">Mailboxen nakijken...</span>
+        <div class="voortgang"><div id="ovBalk"></div></div>
+    </div>
+
+    {% if machtigingen %}
+    <div class="ov-balk">
+        <input type="search" id="ovZoek" placeholder="Zoek een mailbox of persoon..." aria-label="Zoeken in de machtigingen">
+        <span class="per-pagina-plek"></span>
+    </div>
+    <div class="table-wrap">
+        <table id="ovTabel">
+            <thead>
+                <tr>
+                    <th class="sorteer">Mailbox <span class="pijl"></span></th>
+                    <th class="sorteer">Heeft toegang <span class="pijl"></span></th>
+                    <th class="sorteer">Status <span class="pijl"></span></th>
+                    <th class="actions"></th>
+                </tr>
+            </thead>
+            <tbody>
+            {% for m in machtigingen %}
+                <tr>
+                    <td class="persoon" data-sort="{{ (m.Mailbox_naam or m.Mailbox)|lower }}"><strong>{{ m.Mailbox_naam or m.Mailbox }}</strong>{% if m.Mailbox_naam %}<span>{{ m.Mailbox }}</span>{% endif %}</td>
+                    <td class="persoon" data-sort="{{ (m.Gedelegeerde_naam or m.Gedelegeerde)|lower }}"><strong>{{ m.Gedelegeerde_naam or m.Gedelegeerde }}</strong>{% if m.Gedelegeerde_naam %}<span>{{ m.Gedelegeerde }}</span>{% endif %}</td>
+                    <td data-sort="{{ m.Status or '' }}">
+                        {% if m.Status == 'accepted' %}<span class="badge badge-success">Actief</span>
+                        {% elif m.Status == 'pending' %}<span class="badge badge-warning">In afwachting</span>
+                        {% elif m.Status == 'rejected' %}<span class="badge">Geweigerd</span>
+                        {% elif m.Status == 'expired' %}<span class="badge">Verlopen</span>
+                        {% else %}<span class="badge">{{ m.Status or '?' }}</span>{% endif %}
+                    </td>
+                    <td class="actions"><a href="{{ url_for('gmail_delegatie.overzicht', mailbox=m.Mailbox) }}" class="btn btn-sm btn-light" onclick="showLoader()">Openen</a></td>
+                </tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+    <div class="tabel-voet">
+        <div class="muted small" id="ovTeller"></div>
+        <nav class="paginering" id="ovPaginas" aria-label="Pagina's"></nav>
+    </div>
+    {% elif laatst and laatst.Opgehaald %}
+    <p class="muted" style="margin-top:12px">Er zijn geen lopende machtigingen.</p>
+    {% endif %}
+</div>
+
+{# ---------- Logboek ---------- #}
+{% if geschiedenis %}
+<div class="card">
+    <h3 class="card-title">🕑 {{ 'Wijzigingen voor deze mailbox' if mailbox else 'Recente wijzigingen' }}</h3>
+    <div class="table-wrap">
+        <table>
+            <thead><tr><th>Tijdstip</th><th>Door</th><th>Actie</th><th>Mailbox</th><th>Gedelegeerde</th></tr></thead>
+            <tbody>
+            {% for h in geschiedenis %}
+                <tr>
+                    <td class="nowrap">{{ h.Tijdstip.strftime('%d-%m-%Y %H:%M') if h.Tijdstip else '' }}</td>
+                    <td>{{ h.Gebruiker or '?' }}</td>
+                    <td>{% if h.Actie == 'toegevoegd' %}<span class="badge badge-success">Toegevoegd</span>{% else %}<span class="badge badge-danger">Ingetrokken</span>{% endif %}</td>
+                    <td>{{ h.Mailbox }}</td>
+                    <td>{{ h.Gedelegeerde }}</td>
+                </tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+</div>
+{% endif %}
+{% endblock %}
+
+{% block scripts %}
+<script>
+    // Ophaling op de achtergrond: voortgang tonen en daarna de pagina vernieuwen
+    (function () {
+        const blok = document.getElementById('ovBezig');
+        if (!blok || blok.hidden) return;
+        const tekst = document.getElementById('ovTekst'), balk = document.getElementById('ovBalk');
+        const kijk = () => fetch({{ url_for('gmail_delegatie.overzicht_status')|tojson }}).then(r => r.json()).then(s => {
+            if (s.totaal) {
+                tekst.textContent = `Mailboxen nakijken: ${s.voortgang} van ${s.totaal}...`;
+                balk.style.width = Math.round(100 * s.voortgang / s.totaal) + '%';
+            }
+            if (s.bezig) setTimeout(kijk, 2000);
+            else location.reload();
+        }).catch(() => setTimeout(kijk, 5000));
+        kijk();
+    })();
+
+    // Tabel: zoeken, sorteren en pagineren
+    (function () {
+        const tabel = document.getElementById('ovTabel');
+        if (!tabel) return;
+        const body = tabel.tBodies[0], zoekveld = document.getElementById('ovZoek');
+        let PER_PAGINA = perPagina('gmail-machtigingen'), pagina = 1, zoek = '';
+        function toon() {
+            const rijen = Array.from(body.rows).filter(tr => !zoek || tr.textContent.toLowerCase().includes(zoek));
+            const grootte = PER_PAGINA || Infinity, paginas = Math.max(1, Math.ceil(rijen.length / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER_PAGINA ? (pagina - 1) * PER_PAGINA : 0, tot = van + grootte;
+            Array.from(body.rows).forEach(tr => tr.style.display = 'none');
+            rijen.forEach((tr, i) => tr.style.display = (i >= van && i < tot) ? '' : 'none');
+            document.getElementById('ovTeller').textContent = rijen.length
+                ? `${van + 1}–${Math.min(tot, rijen.length)} van ${rijen.length}` : 'Niets gevonden';
+            const nav = document.getElementById('ovPaginas');
+            nav.innerHTML = '';
+            if (paginas <= 1) return;
+            const knop = (label, p, actief) => {
+                const b = document.createElement('button');
+                b.type = 'button'; b.textContent = label; b.className = 'btn-sm ' + (actief ? 'btn-secondary' : 'btn-light');
+                b.onclick = () => { pagina = p; toon(); };
+                nav.appendChild(b);
+            };
+            if (pagina > 1) { knop('«', 1); knop('‹ Vorige', pagina - 1); }
+            for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+            if (pagina < paginas) { knop('Volgende ›', pagina + 1); knop('»', paginas); }
+        }
+        zoekveld.addEventListener('input', () => { zoek = zoekveld.value.trim().toLowerCase(); pagina = 1; toon(); });
+        let kol = null, op = true;
+        tabel.querySelectorAll('th.sorteer').forEach(th => th.addEventListener('click', () => {
+            const k = th.cellIndex;
+            op = kol === k ? !op : true;
+            kol = k;
+            tabel.querySelectorAll('th.sorteer').forEach(x => x.classList.remove('op', 'af'));
+            th.classList.add(op ? 'op' : 'af');
+            Array.from(body.rows).sort((a, b) => {
+                const c = (a.cells[k].dataset.sort || '').localeCompare(b.cells[k].dataset.sort || '', 'nl', { numeric: true, sensitivity: 'base' });
+                return op ? c : -c;
+            }).forEach(tr => body.appendChild(tr));
+            pagina = 1; toon();
+        }));
+        perPaginaKiezer(document.querySelector('#overzicht .per-pagina-plek'), 'gmail-machtigingen', n => { PER_PAGINA = n; pagina = 1; toon(); });
+        toon();
+    })();
+</script>
+{% endblock %}
diff --git a/templates/gmail_labels.html b/templates/gmail_labels.html
new file mode 100644
index 0000000..3c544d4
--- /dev/null
+++ b/templates/gmail_labels.html
@@ -0,0 +1,159 @@
+{% extends "base.html" %}
+
+{% block title %}Mails verplaatsen{% endblock %}
+{% block page_title %}Mails verplaatsen{% endblock %}
+{% block main_class %}medium{% endblock %}
+{% block loader_text %}Bezig met Google...{% endblock %}
+
+{% block extra_css %}
+<style>
+    .stappen { display: grid; gap: 14px; }
+    .rij { display: flex; flex-wrap: wrap; gap: 10px; align-items: end; }
+    .rij .field { flex: 1 1 260px; margin: 0; }
+    .modus { display: flex; flex-wrap: wrap; gap: 10px; }
+    .modus label { flex: 1 1 240px; display: flex; gap: 10px; align-items: flex-start; padding: 12px 14px; margin: 0;
+                   border: 1px solid var(--border); border-radius: var(--radius); cursor: pointer; font-weight: 400; }
+    .modus label:has(input:checked) { border-color: var(--primary-color); background: var(--primary-light); }
+    .modus input { width: auto; margin-top: 3px; }
+    .modus strong { display: block; }
+    .samenvatting { display: flex; flex-wrap: wrap; align-items: center; gap: 12px; justify-content: space-between;
+                    padding: 14px 16px; border-radius: var(--radius); background: var(--surface-muted); margin-top: 16px; }
+    .samenvatting .pijl { font-size: 1.3em; color: var(--text-muted, #64748b); }
+    .voortgang { height: 10px; border-radius: 999px; background: var(--surface-muted); overflow: hidden; margin: 10px 0 6px; }
+    .voortgang div { height: 100%; width: 0; background: var(--primary-color); transition: width .4s; }
+    .tellers { display: flex; flex-wrap: wrap; gap: 14px; font-size: .92em; }
+    td.nowrap { white-space: nowrap; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <h2 class="card-title">🏷️ Berichten met een label naar een andere mailbox</h2>
+    <p class="field-hint" style="margin-top:-6px">Kies de mailbox en het label. PIVOT kopieert elk bericht met dat label (met bijlagen,
+        originele datum, gelezen/ongelezen en ster) naar de doelmailbox, onder een label met dezelfde naam.</p>
+
+    <form method="GET" action="{{ url_for('gmail_labels.overzicht') }}" class="stappen" onsubmit="showLoader()">
+        <div class="rij">
+            <div class="field">
+                <label for="bron">1. Bronmailbox</label>
+                <input type="email" id="bron" name="bron" required value="{{ bron.email if bron else bron_in }}" placeholder="bv. secretariaat@school.be">
+            </div>
+            <button type="submit" class="btn-secondary">🔍 Labels ophalen</button>
+        </div>
+
+        {% if bron %}
+        <div class="muted small" style="margin-top:-6px">📬 {{ bron.naam or bron.email }} · {{ bron.email }}{% if bron.ou %} · {{ bron.ou }}{% endif %}</div>
+        {% if labels %}
+        <div class="field" style="margin:0">
+            <label for="label">2. Label</label>
+            <select id="label" name="label" required>
+                <option value="">— kies een label —</option>
+                {% for l in labels %}
+                <option value="{{ l.id }}" {{ 'selected' if gekozen and gekozen.id == l.id }}>{{ l.naam }}{% if l.aantal is not none %} ({{ l.aantal }}){% endif %}</option>
+                {% endfor %}
+            </select>
+        </div>
+        <div class="field" style="margin:0">
+            <label for="doel">3. Doelmailbox</label>
+            <input type="email" id="doel" name="doel" required value="{{ doel.email if doel else doel_in }}" placeholder="bv. directie@school.be">
+        </div>
+        <div><button type="submit" class="btn-secondary">Controleren</button></div>
+        {% elif not fout %}
+        <p class="muted">Deze mailbox heeft geen eigen labels.</p>
+        {% endif %}
+        {% endif %}
+    </form>
+
+    {% if fout %}<div class="alert alert-danger" style="margin-top:14px">{{ fout }}</div>{% endif %}
+
+    {% if bron and doel and gekozen %}
+    <form method="POST" action="{{ url_for('gmail_labels.start') }}" style="margin-top:18px"
+          onsubmit="const v = this.modus.value === 'verplaatsen'; return confirm({{ (gekozen.aantal|string if gekozen.aantal is not none else 'Alle') |tojson|forceescape }} + ' bericht(en) met label ' + {{ gekozen.naam|tojson|forceescape }} + (v ? ' VERPLAATSEN' : ' kopiëren') + ' van ' + {{ bron.email|tojson|forceescape }} + ' naar ' + {{ doel.email|tojson|forceescape }} + '?' + (v ? '\n\nIn de bronmailbox gaan ze naar de prullenbak (30 dagen terug te halen).' : ''));">
+        <input type="hidden" name="bron" value="{{ bron.email }}">
+        <input type="hidden" name="doel" value="{{ doel.email }}">
+        <input type="hidden" name="label" value="{{ gekozen.id }}">
+        <label style="margin-bottom:8px">4. Wat moet er gebeuren?</label>
+        <div class="modus">
+            <label><input type="radio" name="modus" value="kopieren" checked>
+                <span><strong>📋 Kopiëren</strong><span class="muted small">De berichten blijven ook in de bronmailbox staan.</span></span></label>
+            <label><input type="radio" name="modus" value="verplaatsen">
+                <span><strong>📦 Verplaatsen</strong><span class="muted small">Na het kopiëren gaan ze in de bronmailbox naar de prullenbak.</span></span></label>
+        </div>
+        <div class="samenvatting">
+            <span><strong>{{ gekozen.aantal if gekozen.aantal is not none else '?' }}</strong> bericht(en) met label <strong>{{ gekozen.naam }}</strong></span>
+            <span>{{ bron.email }} <span class="pijl">→</span> {{ doel.email }}</span>
+            <button type="submit" class="btn-success" {{ 'disabled' if status.bezig }}>▶ Starten</button>
+        </div>
+    </form>
+    {% endif %}
+</div>
+
+{% if status.bezig or status.resultaat or status.fout %}
+<div class="card" id="voortgangKaart">
+    <h3 class="card-title">⏳ Opdracht</h3>
+    {% if status.opdracht %}<p class="muted small" id="opdracht">Label <strong>{{ status.opdracht.label }}</strong>:
+        {{ status.opdracht.bron }} → {{ status.opdracht.doel }} ({{ 'verplaatsen' if status.opdracht.modus == 'verplaatsen' else 'kopiëren' }})</p>{% endif %}
+    <div class="voortgang"><div id="balk"></div></div>
+    <div class="tellers">
+        <span><b id="tVoortgang">{{ status.voortgang }}</b> / <b id="tTotaal">{{ status.totaal }}</b></span>
+        <span>✅ <b id="tGelukt">{{ status.gelukt }}</b> gelukt</span>
+        <span>⏭️ <b id="tOver">{{ status.overgeslagen }}</b> stonden er al</span>
+        <span>⚠️ <b id="tFout">{{ status.fouten }}</b> mislukt</span>
+    </div>
+    <div class="alert alert-success" id="resultaat" style="margin-top:12px" {{ '' if status.resultaat and not status.bezig else 'hidden' }}>{{ status.resultaat or '' }}</div>
+    <div class="alert alert-danger" id="foutmelding" style="margin-top:12px" {{ '' if status.fout else 'hidden' }}>{{ status.fout or '' }}</div>
+    <ul class="muted small" id="foutvoorbeelden">{% for f in status.foutvoorbeelden %}<li>{{ f }}</li>{% endfor %}</ul>
+</div>
+{% endif %}
+
+{% if geschiedenis %}
+<div class="card">
+    <h3 class="card-title">🕑 Vorige opdrachten</h3>
+    <div class="table-wrap">
+        <table>
+            <thead><tr><th>Gestart</th><th>Door</th><th>Label</th><th>Van → naar</th><th>Soort</th><th class="text-right">Gelukt</th><th class="text-right">Mislukt</th></tr></thead>
+            <tbody>
+            {% for h in geschiedenis %}
+                <tr title="{{ h.Melding or '' }}">
+                    <td class="nowrap">{{ h.Gestart.strftime('%d-%m-%Y %H:%M') }}{% if not h.Klaar %} <span class="badge badge-warning">bezig</span>{% endif %}</td>
+                    <td>{{ h.Door or '' }}</td>
+                    <td><strong>{{ h.Label }}</strong></td>
+                    <td class="small">{{ h.Bron }} → {{ h.Doel }}</td>
+                    <td>{{ 'Verplaatst' if h.Modus == 'verplaatsen' else 'Gekopieerd' }}</td>
+                    <td class="text-right">{{ h.Gelukt if h.Gelukt is not none else '' }}{% if h.Overgeslagen %} <span class="muted small">(+{{ h.Overgeslagen }})</span>{% endif %}</td>
+                    <td class="text-right">{{ h.Fouten or '' }}</td>
+                </tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+</div>
+{% endif %}
+
+<p class="field-hint">Eenmalig nodig in de Google Admin-console (Beveiliging › API-beheer › Domeinbrede delegatie, bij het
+    serviceaccount van PIVOT): het bereik <code>{{ scope }}</code>. Een onderbroken opdracht kan je gewoon opnieuw starten:
+    berichten die al gekopieerd werden, worden overgeslagen.</p>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    (function () {
+        const kaart = document.getElementById('voortgangKaart');
+        if (!kaart) return;
+        const zet = (id, w) => document.getElementById(id).textContent = w;
+        function kijk() {
+            fetch({{ url_for('gmail_labels.status')|tojson }}, { credentials: 'same-origin' }).then(r => r.json()).then(s => {
+                zet('tVoortgang', s.voortgang); zet('tTotaal', s.totaal); zet('tGelukt', s.gelukt);
+                zet('tOver', s.overgeslagen); zet('tFout', s.fouten);
+                document.getElementById('balk').style.width = (s.totaal ? Math.round(100 * s.voortgang / s.totaal) : (s.bezig ? 3 : 100)) + '%';
+                const res = document.getElementById('resultaat'), fout = document.getElementById('foutmelding');
+                res.hidden = !(s.resultaat && !s.bezig); res.textContent = s.resultaat || '';
+                fout.hidden = !s.fout; fout.textContent = s.fout || '';
+                document.getElementById('foutvoorbeelden').innerHTML = (s.foutvoorbeelden || []).map(f => `<li>${f.replace(/</g, '&lt;')}</li>`).join('');
+                if (s.bezig) setTimeout(kijk, 2000);
+            }).catch(() => setTimeout(kijk, 5000));
+        }
+        kijk();
+    })();
+</script>
+{% endblock %}
diff --git a/templates/google_beheer.html b/templates/google_beheer.html
new file mode 100644
index 0000000..8632e44
--- /dev/null
+++ b/templates/google_beheer.html
@@ -0,0 +1,162 @@
+{% extends "base.html" %}
+
+{% block title %}Google beheer{% endblock %}
+{% block page_title %}Google accountbeheer{% endblock %}
+{% block main_class %}medium{% endblock %}
+{% block loader_text %}Verzoek verwerken...{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>🔍 Zoek Google-account</h2>
+        <div class="actions">
+            <button type="button" class="add-btn" onclick="openAddModal()">➕ Account toevoegen</button>
+        </div>
+    </div>
+
+    <form class="search-bar" method="POST" onsubmit="showLoader()">
+        <input type="text" name="query" class="search-input" placeholder="E-mail of naam..." value="{{ query or '' }}">
+        <button type="submit" class="btn-search">🔍 Zoek in Google</button>
+    </form>
+
+    {% if results %}
+        <div class="table-wrap">
+            <table>
+                <thead>
+                    <tr>
+                        <th>Naam</th>
+                        <th>Primair e-mailadres</th>
+                        <th class="actions">Actie</th>
+                    </tr>
+                </thead>
+                <tbody>
+                {% for user in results %}
+                    <tr>
+                        <td><strong>{{ user.name.fullName }}</strong></td>
+                        <td>{{ user.primaryEmail }}</td>
+                        <td class="actions">
+                            <button type="button" class="btn-danger btn-sm" onclick="openResetModal('{{ user.primaryEmail }}')">🔑 Reset wachtwoord</button>
+                        </td>
+                    </tr>
+                {% endfor %}
+                </tbody>
+            </table>
+        </div>
+    {% elif query %}
+        <p class="muted">Geen resultaten gevonden voor "{{ query }}".</p>
+    {% endif %}
+</div>
+{% endblock %}
+
+{% block modals %}
+<div id="passwordModal" class="modal-overlay">
+    <div class="modal-content">
+        <span class="close" onclick="closeModal('passwordModal')">&times;</span>
+        <h3>Wachtwoord herstellen</h3>
+        <p class="muted" id="displayEmail" style="font-weight:600"></p>
+        <div class="field">
+            <label for="modalPasswordInput">Nieuw wachtwoord</label>
+            <div class="input-group">
+                <input type="text" id="modalPasswordInput" placeholder="Nieuw wachtwoord">
+                <button type="button" class="btn-light" title="Kopiëren" onclick="copyToClipboard('modalPasswordInput')">📋</button>
+                <button type="button" class="btn-light" title="Willekeurig genereren" onclick="generateRandomPass('modalPasswordInput')">🎲</button>
+            </div>
+        </div>
+        <div class="modal-footer">
+            <button type="button" class="btn-ghost" onclick="closeModal('passwordModal')">Annuleren</button>
+            <button type="button" onclick="submitPasswordReset()">Bevestig reset</button>
+        </div>
+    </div>
+</div>
+
+<div id="addAccountModal" class="modal-overlay">
+    <div class="modal-content">
+        <span class="close" onclick="closeModal('addAccountModal')">&times;</span>
+        <h3>Nieuw account toevoegen</h3>
+
+        <form action="{{ url_for('google.aanmaken_google_account') }}" method="POST" target="_blank" onsubmit="closeModal('addAccountModal')">
+            <div class="field">
+                <label for="addOrgUnit">Type account</label>
+                <select name="account_type" id="addOrgUnit">
+                    <option value="Leerling">Leerling</option>
+                    <option value="Leerkracht">Leerkracht</option>
+                </select>
+            </div>
+            <div class="field">
+                <label for="addFirstName">Voornaam</label>
+                <input type="text" name="first_name" id="addFirstName" placeholder="bv. Jan" required>
+            </div>
+            <div class="field">
+                <label for="addLastName">Naam</label>
+                <input type="text" name="last_name" id="addLastName" placeholder="bv. Peeters" required>
+            </div>
+            <div class="field">
+                <label for="addPassword">Wachtwoord</label>
+                <div class="input-group">
+                    <input type="text" name="password" id="addPassword" placeholder="Wachtwoord" required>
+                    <button type="button" class="btn-light" title="Willekeurig genereren" onclick="generateRandomPass('addPassword')">🎲</button>
+                </div>
+            </div>
+            <div class="modal-footer">
+                <button type="button" class="btn-ghost" onclick="closeModal('addAccountModal')">Annuleren</button>
+                <button type="submit">Aanmaken &amp; PDF openen</button>
+            </div>
+        </form>
+    </div>
+</div>
+{% endblock %}
+
+{% block footer %}
+<footer class="app-footer">{{ school_name_short }} – PIVOT – Versie {{ version }} – Google Admin Tools</footer>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    let currentEmail = "";
+
+    function openResetModal(email) {
+        currentEmail = email;
+        document.getElementById('displayEmail').innerText = email;
+        document.getElementById('passwordModal').style.display = 'flex';
+    }
+
+    function openAddModal() { document.getElementById('addAccountModal').style.display = 'flex'; }
+    function closeModal(modalId) { document.getElementById(modalId).style.display = 'none'; }
+
+    function generateRandomPass(inputId) {
+        const chars = "abcdefghjkmnpqrstuvwxyzABCDEFGHJKMNPQRSTUVWXYZ23456789!@#$%";
+        let pass = "";
+        for (let i = 0; i < 12; i++) pass += chars.charAt(Math.floor(Math.random() * chars.length));
+        document.getElementById(inputId).value = pass;
+    }
+
+    function copyToClipboard(inputId) {
+        const passInput = document.getElementById(inputId);
+        if (!passInput.value) return;
+        passInput.select();
+        navigator.clipboard.writeText(passInput.value);
+        alert("Gekopieerd naar klembord!");
+    }
+
+    function submitPasswordReset() {
+        const newPass = document.getElementById('modalPasswordInput').value;
+        if (!newPass) { alert("Voer een wachtwoord in!"); return; }
+
+        showLoader();
+        fetch("{{ url_for('google.apply_password') }}", {
+            method: 'POST',
+            headers: {'Content-Type': 'application/x-www-form-urlencoded'},
+            body: `email=${encodeURIComponent(currentEmail)}&new_password=${encodeURIComponent(newPass)}`
+        }).then(() => {
+            window.location.reload();
+        }).catch(() => {
+            hideLoader();
+            alert("Netwerkfout.");
+        });
+    }
+
+    window.onclick = function (event) {
+        if (event.target.classList.contains('modal-overlay')) event.target.style.display = 'none';
+    };
+</script>
+{% endblock %}
diff --git a/templates/google_licenties.html b/templates/google_licenties.html
new file mode 100644
index 0000000..24d70bc
--- /dev/null
+++ b/templates/google_licenties.html
@@ -0,0 +1,269 @@
+{% extends "base.html" %}
+
+{% block title %}Google-licenties{% endblock %}
+{% block page_title %}Google-licenties{% endblock %}
+{% block loader_text %}Licenties ophalen bij Google...{% endblock %}
+
+{% block extra_css %}
+<style>
+    .lic-grid { display: grid; grid-template-columns: repeat(auto-fill, minmax(280px, 1fr)); gap: 18px; margin-bottom: 20px; }
+    .lic-card { padding: 20px 22px; }
+    .lic-card + .lic-card { margin-top: 0; }
+    .lic-name { font-weight: 700; color: var(--primary-color); margin-bottom: 2px; }
+    .lic-sku { font-size: 12px; color: var(--text-muted); font-family: ui-monospace, Consolas, monospace; }
+    .lic-numbers { display: grid; grid-template-columns: repeat(3, 1fr); gap: 8px; margin: 16px 0 12px; }
+    .lic-num .val { font-size: 26px; font-weight: 800; line-height: 1.1; font-variant-numeric: tabular-nums; }
+    .lic-num .lbl { font-size: 12px; color: var(--text-muted); text-transform: uppercase; letter-spacing: .04em; font-weight: 600; }
+    .lic-num.free .val { color: var(--success); }
+    .lic-num.free.low .val { color: #b45309; }
+    .lic-num.free.over .val { color: var(--danger); }
+    .meter { height: 10px; background: var(--surface-muted); border: 1px solid var(--border); border-radius: 999px; overflow: hidden; }
+    .meter > span { display: block; height: 100%; background: var(--primary-color); border-radius: 999px; }
+    .meter.low > span { background: #f59e0b; }
+    .meter.over > span { background: var(--danger); }
+    .lic-foot { display: flex; justify-content: space-between; gap: 8px; margin-top: 8px; font-size: 13px; color: var(--text-muted); }
+    .lic-hint { margin-top: 10px; font-size: 13px; }
+    .filters { display: flex; flex-wrap: wrap; gap: 8px; margin-bottom: 4px; }
+    .filters input[type=search] { flex: 1 1 240px; width: auto; }
+    .filters select { width: auto; min-width: 200px; }
+    .result-count { font-size: 13px; color: var(--text-muted); margin-top: 8px; }
+    tr.flagged td { background: #fffbeb; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="page-head">
+    <div>
+        <h2 style="margin:0">🎓 Google Workspace for Education-licenties</h2>
+        {% if opgehaald %}<div class="muted small">Gegevens van Google opgehaald om {{ opgehaald }}</div>{% endif %}
+    </div>
+    <div class="actions">
+        <button type="button" class="btn-light" onclick="document.getElementById('purchasedModal').style.display='block'">✏️ Aangekochte aantallen</button>
+        {% if data %}<a class="btn btn-light" href="{{ url_for('google_licenties.export_csv') }}">⬇️ Export CSV</a>{% endif %}
+        <a class="btn" href="{{ url_for('google_licenties.overzicht', vernieuw=1) }}" onclick="showLoader()">🔄 Vernieuwen</a>
+    </div>
+</div>
+
+{% if fout %}
+    <div class="flash-message error"><span><strong>Licenties konden niet opgehaald worden.</strong><br>{{ fout }}</span></div>
+{% endif %}
+
+{% if data %}
+<div class="lic-grid">
+    {% for s in data.skus %}
+        {% set state = 'over' if s.aangekocht and s.vrij < 0 else ('low' if s.procent is not none and s.procent >= 90 else '') %}
+        <div class="card lic-card">
+            <div class="lic-name">{{ s.naam }}</div>
+            <div class="lic-sku">SKU {{ s.sku_id }}</div>
+
+            <div class="lic-numbers">
+                <div class="lic-num"><div class="val">{{ s.in_gebruik }}</div><div class="lbl">In gebruik</div></div>
+                <div class="lic-num"><div class="val">{{ s.aangekocht if s.aangekocht else '–' }}</div><div class="lbl">Aangekocht</div></div>
+                <div class="lic-num free {{ state }}"><div class="val">{{ s.vrij if s.aangekocht else '–' }}</div><div class="lbl">{{ 'Tekort' if state == 'over' else 'Vrij' }}</div></div>
+            </div>
+
+            {% if s.aangekocht %}
+                <div class="meter {{ state }}"><span style="width: {{ [s.procent, 100]|min }}%"></span></div>
+                <div class="lic-foot">
+                    <span>{{ s.procent }}% gebruikt</span>
+                    {% if s.bijgewerkt %}<span title="Aantal aangepast door {{ s.bijgewerkt_door or '?' }}">aantal: {{ s.bijgewerkt.strftime('%d-%m-%Y') }}</span>{% endif %}
+                </div>
+            {% else %}
+                <div class="lic-hint muted">Vul het aangekochte aantal in om te zien hoeveel er nog vrij zijn.</div>
+            {% endif %}
+
+            {% if state == 'over' %}
+                <div class="alert alert-danger lic-hint" style="margin-bottom:0">{{ -s.vrij }} licentie(s) meer toegewezen dan aangekocht.</div>
+            {% endif %}
+            {% if s.geschorst %}
+                <div class="alert alert-warning lic-hint" style="margin-bottom:0">
+                    {{ s.geschorst }} op geschorste of gearchiveerde accounts –
+                    <a href="#" onclick="filterFlagged('{{ s.sku_id }}'); return false;">bekijken</a>
+                </div>
+            {% endif %}
+        </div>
+    {% endfor %}
+</div>
+
+<div class="card">
+    <div class="page-head" style="margin-bottom: 12px;"><h3 style="margin:0">Toegewezen licenties</h3></div>
+
+    <div class="filters">
+        <input type="search" id="zoek" placeholder="Zoek op naam, e-mail of organisatie-eenheid..." oninput="applyFilters()">
+        <select id="skuFilter" onchange="applyFilters()">
+            <option value="">Alle licenties</option>
+            {% for s in data.skus if s.in_gebruik %}<option value="{{ s.sku_id }}">{{ s.naam }} ({{ s.in_gebruik }})</option>{% endfor %}
+        </select>
+        <label class="check-box" style="margin:0; padding:8px 12px"><input type="checkbox" id="flagFilter" onchange="applyFilters()"> Enkel geschorst / gearchiveerd</label>
+    </div>
+
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr>
+                    <th class="sorteer" data-kol="0" data-type="tekst">Naam <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="1" data-type="tekst">E-mail <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="2" data-type="tekst">Organisatie-eenheid <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="3" data-type="tekst">Licentie <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="4" data-type="vast">Laatste login <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="5" data-type="vast">Account <span class="pijl"></span></th>
+                </tr>
+            </thead>
+            <tbody id="licBody">
+                {% for u in data.users %}
+                <tr data-sku="{{ u.sku_id }}" data-flag="{{ 1 if (u.geschorst or u.gearchiveerd) else 0 }}" class="{{ 'flagged' if (u.geschorst or u.gearchiveerd) else '' }}">
+                    <td data-sort="{{ u.naam|lower }}">{{ u.naam }}</td>
+                    <td data-sort="{{ u.email|lower }}">{{ u.email }}</td>
+                    <td class="muted" data-sort="{{ u.ou|lower }}">{{ u.ou }}</td>
+                    <td data-sort="{{ u.sku_naam|lower }}"><span class="badge badge-info">{{ u.sku_naam }}</span></td>
+                    <td class="nowrap" data-sort="{{ u.laatste_login or '' }}">{{ u.laatste_login or 'Nooit' }}</td>
+                    {# volgorde bij sorteren: actief → geschorst → gearchiveerd → onbekend #}
+                    <td data-sort="{{ '3' if u.gearchiveerd else ('2' if u.geschorst else ('4' if u.onbekend else '1')) }}">
+                        {% if u.gearchiveerd %}<span class="badge badge-warning">Gearchiveerd</span>
+                        {% elif u.geschorst %}<span class="badge badge-warning">Geschorst</span>
+                        {% elif u.onbekend %}<span class="badge">Onbekend</span>
+                        {% else %}<span class="badge badge-success">Actief</span>{% endif %}
+                    </td>
+                </tr>
+                {% else %}
+                <tr class="empty-row"><td colspan="6">Er zijn nog geen Education-licenties toegewezen.</td></tr>
+                {% endfor %}
+                <tr class="empty-row hidden" id="noMatch"><td colspan="6">Geen licenties gevonden voor deze filter.</td></tr>
+            </tbody>
+        </table>
+    </div>
+    <div class="lic-voet">
+        <div style="display:flex;align-items:center;gap:14px;flex-wrap:wrap">
+            <div class="result-count" id="resultCount"></div>
+            <span id="perPaginaKiezer"></span>
+        </div>
+        <nav class="paginering" id="paginering" aria-label="Pagina's"></nav>
+    </div>
+</div>
+{% endif %}
+{% endblock %}
+
+{% block modals %}
+<div id="purchasedModal" class="modal">
+    <div class="modal-content">
+        <span class="close" onclick="document.getElementById('purchasedModal').style.display='none'">&times;</span>
+        <h3>Aangekochte licenties</h3>
+        <p class="muted small">Google geeft het aantal aangekochte licenties niet door via de API. Vul hier het aantal in dat in de Admin-console (Facturering › Abonnementen) of op je factuur staat.</p>
+        <form method="POST" action="{{ url_for('google_licenties.aangekocht_opslaan') }}">
+            {% set shown = (data.skus|map(attribute='sku_id')|list) if data else ['1010310008'] %}
+            {% for sku_id in shown %}
+                {% set cur = (data.skus|selectattr('sku_id', 'equalto', sku_id)|first) if data else none %}
+                <div class="field">
+                    <label for="aangekocht_{{ sku_id }}">{{ sku_names.get(sku_id, sku_id) }}</label>
+                    <input type="number" min="0" step="1" id="aangekocht_{{ sku_id }}" name="aangekocht_{{ sku_id }}"
+                           value="{{ cur.aangekocht if cur and cur.aangekocht else '' }}" placeholder="Aantal">
+                </div>
+            {% endfor %}
+            <div class="modal-footer">
+                <button type="button" class="btn-ghost" onclick="document.getElementById('purchasedModal').style.display='none'">Annuleren</button>
+                <button type="submit">💾 Opslaan</button>
+            </div>
+        </form>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<style>
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+    .lic-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .lic-voet .result-count { margin: 0; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+</style>
+<script>
+    let PER_PAGINA = perPagina('licenties');
+    let pagina = 1, sortKol = null, sortOp = true;
+
+    function rijen() { return Array.from(document.querySelectorAll('#licBody tr[data-sku]')); }
+
+    // Filteren → sorteren → pagineren (alles in de browser; Google wordt niet opnieuw bevraagd)
+    function applyFilters(houdPagina) {
+        if (!houdPagina) pagina = 1;
+        const q = (document.getElementById('zoek')?.value || '').toLowerCase();
+        const sku = document.getElementById('skuFilter')?.value || '';
+        const flagged = document.getElementById('flagFilter')?.checked;
+        const alle = rijen();
+        const passend = alle.filter(tr => (!q || tr.textContent.toLowerCase().includes(q))
+                                        && (!sku || tr.dataset.sku === sku)
+                                        && (!flagged || tr.dataset.flag === '1'));
+        if (sortKol !== null) {
+            const tekst = document.querySelector(`th.sorteer[data-kol="${sortKol}"]`).dataset.type === 'tekst';
+            passend.sort((a, b) => {
+                const x = a.cells[sortKol].dataset.sort || '', y = b.cells[sortKol].dataset.sort || '';
+                const c = tekst ? x.localeCompare(y, 'nl') : (x < y ? -1 : x > y ? 1 : 0);
+                return sortOp ? c : -c;
+            });
+            const body = document.getElementById('licBody'), nm = document.getElementById('noMatch');
+            passend.forEach(tr => body.insertBefore(tr, nm));
+        }
+        const grootte = PER_PAGINA || Infinity;
+        const paginas = Math.max(1, Math.ceil(passend.length / grootte));
+        pagina = Math.min(Math.max(1, pagina), paginas);
+        const van = PER_PAGINA ? (pagina - 1) * PER_PAGINA : 0, tot = van + grootte;   // 0 = alles
+        alle.forEach(tr => tr.style.display = 'none');
+        passend.slice(van, tot).forEach(tr => tr.style.display = '');
+
+        const nm = document.getElementById('noMatch');
+        if (nm) nm.classList.toggle('hidden', !(alle.length && !passend.length));
+        const rc = document.getElementById('resultCount');
+        if (rc && alle.length) {
+            const bereik = passend.length ? `${van + 1}–${Math.min(tot, passend.length)} van ` : '';
+            rc.textContent = passend.length === alle.length ? `${bereik}${alle.length} licenties`
+                                                             : `${bereik}${passend.length} gevonden (${alle.length} licenties in totaal)`;
+        }
+        tekenPaginering(paginas);
+    }
+
+    function tekenPaginering(paginas) {
+        const nav = document.getElementById('paginering');
+        if (!nav) return;
+        nav.innerHTML = '';
+        if (paginas <= 1) return;
+        const knop = (label, p, actief, titel) => {
+            const b = document.createElement('button');
+            b.type = 'button'; b.textContent = label; b.className = 'btn-sm ' + (actief ? 'btn-secondary' : 'btn-light');
+            if (titel) b.title = titel;
+            if (actief) b.setAttribute('aria-current', 'page');
+            b.onclick = () => { pagina = p; applyFilters(true); document.getElementById('licBody').scrollIntoView({ block: 'start' }); };
+            nav.appendChild(b);
+        };
+        if (pagina > 1) { knop('«', 1, false, 'Eerste pagina'); knop('‹ Vorige', pagina - 1); }
+        for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+        if (pagina < paginas) { knop('Volgende ›', pagina + 1); knop('»', paginas, false, 'Laatste pagina'); }
+        const info = document.createElement('span');
+        info.className = 'muted small'; info.textContent = `pagina ${pagina} van ${paginas}`;
+        nav.appendChild(info);
+    }
+
+    document.querySelectorAll('th.sorteer').forEach(th => th.addEventListener('click', () => {
+        const kol = +th.dataset.kol;
+        sortOp = sortKol === kol ? !sortOp : true;
+        sortKol = kol;
+        document.querySelectorAll('th.sorteer').forEach(x => x.classList.remove('op', 'af'));
+        th.classList.add(sortOp ? 'op' : 'af');
+        applyFilters();
+    }));
+
+    function filterFlagged(sku) {
+        document.getElementById('skuFilter').value = sku;
+        document.getElementById('flagFilter').checked = true;
+        applyFilters();
+        document.getElementById('licBody').scrollIntoView({ behavior: 'smooth', block: 'start' });
+    }
+
+    window.onclick = function (e) { if (e.target.classList.contains('modal')) e.target.style.display = 'none'; };
+    document.addEventListener('DOMContentLoaded', () => {
+        perPaginaKiezer(document.getElementById('perPaginaKiezer'), 'licenties', n => { PER_PAGINA = n; applyFilters(); });
+        applyFilters();
+    });
+</script>
+{% endblock %}
diff --git a/templates/gopro.html b/templates/gopro.html
new file mode 100644
index 0000000..1f8e714
--- /dev/null
+++ b/templates/gopro.html
@@ -0,0 +1,460 @@
+{% extends "base.html" %}
+
+{% block title %}GO! Pro{% endblock %}
+{% block page_title %}GO! Pro{% endblock %}
+{% block loader_text %}Personeel ophalen uit Informat...{% endblock %}
+
+{% block extra_css %}
+<style>
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+    .filter-bar { display: flex; flex-wrap: wrap; gap: 10px; align-items: center; margin-bottom: 12px; }
+    .filter-bar input[type=search] { flex: 1 1 260px; }
+    td.mail { font-family: ui-monospace, SFMono-Regular, Menlo, monospace; font-size: .86em; }
+    input.adres { font-family: ui-monospace, SFMono-Regular, Menlo, monospace; font-size: .84em; padding: 5px 7px;
+                  min-width: 250px; background: transparent; }
+    input.adres.aangepast { border-color: var(--primary-color); font-weight: 600; }
+    /* Kleur per rij volgens Google Workspace */
+    #personeelBody tr.g-account td { background: #e8f7ee; }
+    #personeelBody tr.g-alias td   { background: #fff1e0; }
+    #personeelBody tr.g-geen td    { background: #fdeaea; }
+    #personeelBody tr[class*="g-"] input.adres, #personeelBody tr[class*="g-"] select.rol { background: #fff; }
+    .legende { display: flex; flex-wrap: wrap; gap: 6px 18px; align-items: center; margin: -6px 0 14px; font-size: .88em; color: var(--text-muted); }
+    .legende button.kleurfilter { all: unset; box-sizing: border-box; cursor: pointer; display: inline-flex; align-items: center;
+                                  gap: 6px; padding: 4px 10px; border-radius: 999px; border: 1px solid transparent; }
+    .legende button.kleurfilter:hover { border-color: var(--border); color: var(--text, #1e293b); }
+    .legende button.kleurfilter:focus-visible { outline: 2px solid var(--primary-color); outline-offset: 1px; }
+    .legende button.kleurfilter.actief { border-color: var(--primary-color); color: var(--primary-color); font-weight: 600;
+                                         background: var(--surface); }
+    .legende b { font-weight: 600; font-variant-numeric: tabular-nums; }
+    .legende b:not(:empty)::before { content: "("; } .legende b:not(:empty)::after { content: ")"; }
+    .legende i { width: 14px; height: 14px; border-radius: 3px; display: inline-block; }
+    .legende i.account { background: #e8f7ee; border: 1px solid #a7dcb9; }
+    .legende i.alias   { background: #fff1e0; border: 1px solid #f3c48d; }
+    .legende i.geen    { background: #fdeaea; border: 1px solid #f0a8a8; }
+    select.rol { min-width: 150px; max-width: 190px; padding: 5px 6px; }
+    th.breekt { white-space: normal; min-width: 90px; }
+    select.rol.anders { border-color: var(--primary-color); font-weight: 600; }
+    .rol-status { display: inline-block; width: 18px; margin-left: 4px; font-size: .9em; }
+    td.nowrap { white-space: nowrap; }
+    button.negeer { all: unset; cursor: pointer; display: inline-grid; place-items: center; width: 24px; height: 24px;
+                    border-radius: 6px; font-size: 13px; opacity: .45; margin-right: 4px; vertical-align: middle; }
+    button.negeer:hover, button.negeer:focus-visible { opacity: 1; background: #fee2e2; outline: none; }
+    tr.weg { opacity: .3; transition: opacity .25s; }
+    button.verplaats { all: unset; cursor: pointer; display: inline-grid; place-items: center; width: 24px; height: 24px;
+                       border-radius: 6px; font-size: 15px; font-weight: 800; color: #16a34a; margin-right: 2px; vertical-align: middle; }
+    button.verplaats:hover, button.verplaats:focus-visible { background: #dcfce7; outline: none; }
+    .vp-raster { display: grid; grid-template-columns: 1fr 1fr; gap: 0 14px; }
+    .vp-raster .field { margin-bottom: 12px; }
+    .vp-raster .breed { grid-column: 1 / -1; }
+    @media (max-width: 560px) { .vp-raster { grid-template-columns: 1fr; } }
+    #vpFout { display: none; margin: 4px 0 0; }
+    .nacht { display: flex; flex-wrap: wrap; gap: 14px; align-items: center; justify-content: space-between;
+             padding: 12px 16px; border: 1px solid var(--border); border-radius: var(--radius); margin-bottom: 16px; }
+    .nacht.aan { border-color: var(--primary-color); background: var(--primary-light); }
+    .nacht strong { display: block; }
+    .nacht-acties { display: flex; gap: 12px; align-items: center; }
+    .schakelaar { display: inline-flex; align-items: center; gap: 10px; cursor: pointer; font-weight: 600; }
+    .schakelaar .spoor { width: 44px; height: 24px; border-radius: 999px; background: #cbd5e1; position: relative; transition: background .15s; flex-shrink: 0; }
+    .schakelaar .spoor::after { content: ""; position: absolute; top: 3px; left: 3px; width: 18px; height: 18px; border-radius: 50%;
+                                 background: #fff; transition: transform .15s; box-shadow: 0 1px 2px rgba(0,0,0,.25); }
+    .schakelaar.aan .spoor { background: var(--primary-color); }
+    .schakelaar.aan .spoor::after { transform: translateX(20px); }
+    .schakelaar button { all: unset; display: inline-flex; align-items: center; gap: 10px; cursor: pointer; }
+    .schakelaar button:focus-visible .spoor { outline: 2px solid var(--primary-color); outline-offset: 2px; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>🪪 Personeel {{ school_naam }}</h2>
+        <div class="actions">
+            {% if rijen %}
+            <form method="POST" action="{{ url_for('gopro.verzamel') }}" style="margin:0"
+                  onsubmit="if (!confirm('Alle groene personeelsleden (account bestaat in Google) van deze school naar de verzameltabel zetten? Ze verdwijnen dan uit deze lijst.')) return false; showLoader('Verzamelen...');">
+                <button type="submit" class="btn-success btn-sm">➕ Groene naar verzameltabel</button>
+            </form>
+            <a class="btn btn-light btn-sm" id="exportKnop" href="{{ url_for('gopro.export') }}">⬇️ CSV voor GO! Pro</a>
+            {% endif %}
+            <a class="btn btn-light btn-sm" href="{{ url_for('gopro.verzameltabel') }}"><span id="groenTeller">📚 Verzameltabel ({{ verzameld_totaal }})</span></a>
+            <a class="btn btn-light btn-sm" href="{{ url_for('gopro.verzameltabel', lijst='rood') }}"><span id="roodTeller">🚫 Rode lijst ({{ genegeerd_totaal }})</span></a>
+            <a class="btn btn-light btn-sm" href="{{ url_for('gopro.verzameltabel', lijst='verzonden') }}" title="Personeelsleden van {{ school_naam }} die al naar GO! Pro verzonden zijn">📨 Verzonden van deze school ({{ verzonden_school }})</a>
+            <a class="btn btn-secondary btn-sm" href="{{ url_for('gopro.overzicht', vernieuw=1) }}" onclick="showLoader()">🔄 Opnieuw ophalen</a>
+        </div>
+    </div>
+
+    <div class="nacht {{ 'aan' if nacht.aan }}">
+        <div>
+            <strong>🌙 Elke nacht automatisch verzamelen</strong>
+            <span class="muted small">
+                {% if nacht.aan %}Staat <b>aan</b>: elke nacht tussen 2 en 6 uur worden van alle scholen de groene personeelsleden
+                    naar de verzameltabel gezet (wie op de rode lijst staat niet){% if nacht.door %} · aangezet door {{ nacht.door }}{% endif %}.
+                {% else %}Staat uit: enkel met de knop ➕ Groene naar verzameltabel, per school.{% endif %}
+                {% if nacht.bezig %}<br>⏳ Er loopt nu een verzameling voor alle scholen…
+                {% elif nacht.resultaat %}<br>Laatste keer ({{ nacht.resultaat_op.strftime('%d-%m-%Y %H:%M') if nacht.resultaat_op else '?' }}): {{ nacht.resultaat }}{% endif %}
+            </span>
+        </div>
+        <div class="nacht-acties">
+            <form method="POST" action="{{ url_for('gopro.nachtelijk') }}" style="margin:0"
+                  onsubmit="if (!confirm('Nu meteen van alle scholen de groene personeelsleden naar de verzameltabel zetten?')) return false;">
+                <input type="hidden" name="nu" value="1">
+                <button type="submit" class="btn-light btn-sm" {{ 'disabled' if nacht.bezig }}>▶ Nu voor alle scholen</button>
+            </form>
+            <form method="POST" action="{{ url_for('gopro.nachtelijk') }}" style="margin:0">
+                <input type="hidden" name="aan" value="{{ '0' if nacht.aan else '1' }}">
+                <span class="schakelaar {{ 'aan' if nacht.aan }}">
+                    <button type="submit" role="switch" aria-checked="{{ 'true' if nacht.aan else 'false' }}">
+                        <span class="spoor"></span> {{ 'Aan' if nacht.aan else 'Uit' }}
+                    </button>
+                </span>
+            </form>
+        </div>
+    </div>
+
+    {% if fout %}
+        <div class="alert alert-danger">{{ fout }}</div>
+    {% else %}
+        <div class="legende" role="group" aria-label="Legende en filter">
+            <button type="button" class="kleurfilter actief" data-kleur="" aria-pressed="true">Alle <b data-tel=""></b></button>
+            <button type="button" class="kleurfilter" data-kleur="account" aria-pressed="false"><i class="account"></i> Account bestaat in Google <b data-tel="account"></b></button>
+            <button type="button" class="kleurfilter" data-kleur="alias" aria-pressed="false"><i class="alias"></i> Adres is een alias van een ander account <b data-tel="alias"></b></button>
+            <button type="button" class="kleurfilter" data-kleur="geen" aria-pressed="false"><i class="geen"></i> Geen account gevonden in Google <b data-tel="geen"></b></button>
+        </div>
+        {% if not domein %}
+        <div class="alert alert-warning">Deze school heeft nog geen e-maildomein: vul het in via 🏫 Alle scholen beheren › Bewerken.</div>
+        {% endif %}
+        {% if verzameld_hier.groen or verzameld_hier.genegeerd or verzameld_hier.verzonden %}
+        <div class="alert alert-info">Niet meer getoond:
+            {% if verzameld_hier.groen %}{{ verzameld_hier.groen }} in de <a href="{{ url_for('gopro.verzameltabel') }}">verzameltabel</a>{% endif %}
+            {%- if verzameld_hier.genegeerd %}{{ ', ' if verzameld_hier.groen }}{{ verzameld_hier.genegeerd }} op de <a href="{{ url_for('gopro.verzameltabel', lijst='rood') }}">rode lijst</a>{% endif -%}
+            {%- if verzameld_hier.verzonden %}{{ ', ' if verzameld_hier.groen or verzameld_hier.genegeerd }}{{ verzameld_hier.verzonden }} al <a href="{{ url_for('gopro.verzameltabel', lijst='verzonden') }}">verzonden</a>{% endif -%}
+            .</div>
+        {% endif %}
+        {% if dubbel %}
+        <div class="alert alert-warning">⚠️ {{ dubbel }} rij(en) met een e-mailadres dat ook bij een ander personeelslid voorkomt (zelfde naam). Die zijn gemarkeerd.</div>
+        {% endif %}
+
+        <div class="filter-bar">
+            <input type="search" id="zoek" placeholder="Zoek op naam, e-mail, functie of rol..." aria-label="Zoeken">
+            <span class="muted small">Opgehaald uit Informat op {{ opgehaald }}</span>
+        </div>
+        <div class="filter-bar" style="margin-top:-4px">
+            <span class="muted small" id="googleStatus">Controleren in Google…</span>
+            <button type="button" class="btn-sm btn-light" id="googleKnop">🔄 Opnieuw controleren</button>
+        </div>
+
+        <div class="table-wrap">
+            <table>
+                <thead>
+                    <tr>
+                        <th class="sorteer" data-kol="0">Voornaam <span class="pijl"></span></th>
+                        <th class="sorteer" data-kol="1">Achternaam <span class="pijl"></span></th>
+                        <th class="sorteer" data-kol="2">E-mail <span class="pijl"></span></th>
+                        <th class="sorteer" data-kol="3">UPN <span class="pijl"></span></th>
+                        <th class="sorteer" data-kol="4">Functie <span class="pijl"></span></th>
+                        <th class="sorteer" data-kol="5">Rol <span class="pijl"></span></th>
+                        <th class="sorteer breekt" data-kol="6">Startdatum functie <span class="pijl"></span></th>
+                        <th class="sorteer breekt" data-kol="7">Einddatum functie <span class="pijl"></span></th>
+                        <th class="sorteer" data-kol="8">Telefoon <span class="pijl"></span></th>
+                    </tr>
+                </thead>
+                <tbody id="personeelBody">
+                {% for r in rijen %}
+                    <tr>
+                        <td data-sort="{{ r.voornaam }}" class="nowrap"><button type="button" class="verplaats" data-person="{{ r.person_id }}"
+                                data-voornaam="{{ r.voornaam }}" data-achternaam="{{ r.achternaam }}" data-instelling="{{ r.instellingsnummer }}"
+                                data-start="{{ r.start.isoformat() if r.start else '' }}" data-einde="{{ r.einde.isoformat() if r.einde else '' }}"
+                                data-telefoon="{{ r.telefoon }}"
+                                title="{{ r.voornaam }} {{ r.achternaam }} nakijken en naar de verzameltabel"
+                                aria-label="{{ r.voornaam }} {{ r.achternaam }} naar de verzameltabel">＋</button><button type="button" class="negeer" data-person="{{ r.person_id }}"
+                                title="{{ r.voornaam }} {{ r.achternaam }} naar de rode lijst (negeren: niet exporteren en niet meer tonen)"
+                                aria-label="{{ r.voornaam }} {{ r.achternaam }} negeren">🚫</button> {{ r.voornaam }}</td>
+                        <td data-sort="{{ r.achternaam }}"><strong>{{ r.achternaam }}</strong></td>
+                        {% for veld in ('email', 'upn') %}
+                        <td class="nowrap" data-sort="{{ r[veld] }}">
+                            <input type="text" class="adres {{ 'aangepast' if r[veld ~ '_aangepast'] }}" value="{{ r[veld] }}"
+                                   data-person="{{ r.person_id }}" data-veld="{{ veld }}" data-oud="{{ r[veld] }}"
+                                   aria-label="{{ 'E-mail' if veld == 'email' else 'UPN' }} van {{ r.voornaam }} {{ r.achternaam }}"
+                                   title="Leeg maken = terug naar het standaardadres"><span class="rol-status" aria-live="polite"></span>
+                            {% if veld == 'email' and r.dubbel %}<span class="badge badge-warning" title="Dit adres komt meer dan één keer voor">dubbel</span>{% endif %}
+                        </td>
+                        {% endfor %}
+                        {% for veld, label in (('functie', 'Functie'), ('rol', 'Rol')) %}
+                        <td data-sort="{{ r[veld] }}" class="nowrap">
+                            <select class="rol {{ 'anders' if r[veld] != 'Leerkracht' }}" aria-label="{{ label }} van {{ r.voornaam }} {{ r.achternaam }}"
+                                    data-person="{{ r.person_id }}" data-veld="{{ veld }}">
+                                {% for rol in rollen %}<option {% if rol == r[veld] %}selected{% endif %}>{{ rol }}</option>{% endfor %}
+                            </select><span class="rol-status" aria-live="polite"></span>
+                        </td>
+                        {% endfor %}
+                        <td class="nowrap" data-sort="{{ r.start.isoformat() if r.start else '' }}">{{ r.start.strftime('%d-%m-%Y') if r.start else '' }}</td>
+                        <td class="nowrap" data-sort="{{ r.einde.isoformat() if r.einde else '' }}">{{ r.einde.strftime('%d-%m-%Y') if r.einde else '' }}</td>
+                        <td class="nowrap" data-sort="{{ r.telefoon }}">{{ r.telefoon }}</td>
+                    </tr>
+                {% else %}
+                    <tr class="empty-row"><td colspan="9">Informat gaf geen actieve personeelsleden terug.</td></tr>
+                {% endfor %}
+                </tbody>
+            </table>
+        </div>
+        <div class="tabel-voet">
+            <div style="display:flex;align-items:center;gap:14px;flex-wrap:wrap">
+                <div class="muted small" id="teller"></div>
+                <span id="perPagina"></span>
+            </div>
+            <nav class="paginering" id="paginering" aria-label="Pagina's"></nav>
+        </div>
+    {% endif %}
+</div>
+<div id="vpVenster" class="modal" role="dialog" aria-modal="true" aria-labelledby="vpTitel">
+    <div class="modal-content wide">
+        <span class="close" id="vpSluit" title="Annuleren">&times;</span>
+        <h3 id="vpTitel">Naar de verzameltabel</h3>
+        <form id="vpForm" autocomplete="off">
+            <input type="hidden" name="person_id">
+            <div class="vp-raster">
+                <div class="field"><label for="vpVoornaam">Voornaam</label><input id="vpVoornaam" name="voornaam" required maxlength="100"></div>
+                <div class="field"><label for="vpAchternaam">Achternaam</label><input id="vpAchternaam" name="achternaam" required maxlength="100"></div>
+                <div class="field breed"><label for="vpEmail">E-mailadres (aanmelden en communicatie)</label><input id="vpEmail" name="email" type="email" maxlength="255"></div>
+                <div class="field breed"><label for="vpUpn">UPN</label><input id="vpUpn" name="upn" maxlength="255"></div>
+                <div class="field"><label for="vpFunctie">Functie</label><select id="vpFunctie" name="functie">{% for rol in rollen %}<option>{{ rol }}</option>{% endfor %}</select></div>
+                <div class="field"><label for="vpRol">Rol</label><select id="vpRol" name="rol">{% for rol in rollen %}<option>{{ rol }}</option>{% endfor %}</select></div>
+                <div class="field"><label for="vpStart">Startdatum functie</label><input id="vpStart" name="start" type="date" readonly title="In de verzameltabel heeft iedereen het lopende schooljaar"></div>
+                <div class="field"><label for="vpEinde">Einddatum functie</label><input id="vpEinde" name="einde" type="date" readonly title="In de verzameltabel heeft iedereen het lopende schooljaar"></div>
+                <div class="field"><label for="vpInstelling">Onderwijsinstelling nr.</label><input id="vpInstelling" name="instellingsnummer" maxlength="20"></div>
+                <div class="field"><label for="vpTelefoon">Professioneel telefoonnummer</label><input id="vpTelefoon" name="telefoon" maxlength="50"></div>
+            </div>
+            <div class="alert alert-danger" id="vpFout"></div>
+            <div class="modal-footer">
+                <button type="button" class="btn-light" id="vpAnnuleer">Annuleren</button>
+                <button type="submit" class="btn-success" id="vpBewaar">💾 Bewaren en naar verzameltabel</button>
+            </div>
+        </form>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    // Welke adressen bestaan al in Google? Die rijen worden lichtgroen.
+    let googleAdressen = null;          // {adres: 'primair' | 'alias'} zodra Google geantwoord heeft
+    let kleurFilter = '';               // '' = alle, of 'account' / 'alias' / 'geen'
+    let herteken = () => {};            // wordt hieronder de functie die de tabel opnieuw toont
+    let hertoon = () => {};             // idem, maar op dezelfde pagina blijven
+    function kleurRij(tr) {
+        if (!googleAdressen) return;
+        const soorten = Array.from(tr.querySelectorAll('input.adres')).map(i => googleAdressen[i.value.trim().toLowerCase()]);
+        const soort = soorten.includes('primair') ? 'account' : soorten.includes('alias') ? 'alias' : 'geen';
+        tr.classList.remove('g-account', 'g-alias', 'g-geen');
+        tr.classList.add('g-' + soort);
+        tr.title = {account: 'Account bestaat in Google', alias: 'Dit adres is een alias van een ander account in Google',
+                    geen: 'Geen account gevonden in Google'}[soort];
+    }
+    function controleerGoogle(vernieuw) {
+        const status = document.getElementById('googleStatus');
+        if (!status) return;
+        status.textContent = 'Controleren in Google…';
+        const adressen = Array.from(document.querySelectorAll('input.adres')).map(i => i.value.trim().toLowerCase()).filter(Boolean);
+        fetch("{{ url_for('gopro.google_check') }}", {
+            method: 'POST', credentials: 'same-origin', headers: {'Content-Type': 'application/json'},
+            body: JSON.stringify({adressen, vernieuw: !!vernieuw})
+        }).then(r => r.json()).then(res => {
+            if (!res.ok) { status.textContent = '⚠️ ' + res.fout; return; }
+            googleAdressen = Object.assign(googleAdressen || {}, res.adressen);
+            const rijen = Array.from(document.querySelectorAll('#personeelBody tr')).filter(tr => tr.querySelector('input.adres'));
+            rijen.forEach(kleurRij);
+            const tel = k => rijen.filter(tr => tr.classList.contains('g-' + k)).length;
+            status.textContent = `${tel('account')} met account, ${tel('alias')} via een alias, ${tel('geen')} zonder account in Google.`;
+            document.querySelectorAll('.legende b[data-tel]').forEach(b => { b.textContent = b.dataset.tel ? tel(b.dataset.tel) : rijen.length; });
+            herteken();
+        }).catch(() => { status.textContent = '⚠️ Google kon niet bevraagd worden.'; });
+    }
+    // 🚫 naast de naam: personeelslid naar de rode lijst (negeren) en uit de tabel halen
+    function telLegende() {
+        const rijen = Array.from(document.querySelectorAll('#personeelBody tr')).filter(tr => tr.querySelector('input.adres'));
+        const tel = k => rijen.filter(tr => tr.classList.contains('g-' + k)).length;
+        document.querySelectorAll('.legende b[data-tel]').forEach(b => { b.textContent = b.dataset.tel ? tel(b.dataset.tel) : rijen.length; });
+        const status = document.getElementById('googleStatus');
+        if (status && googleAdressen) status.textContent = `${tel('account')} met account, ${tel('alias')} via een alias, ${tel('geen')} zonder account in Google.`;
+    }
+    // ＋ naast de naam: venster met alle gegevens; bewaren = met de aanpassingen naar de verzameltabel
+    (function () {
+        const venster = document.getElementById('vpVenster'), form = document.getElementById('vpForm');
+        const fout = document.getElementById('vpFout'), bewaar = document.getElementById('vpBewaar');
+        let huidigeRij = null;
+        const sluit = () => { venster.style.display = 'none'; huidigeRij = null; };
+        document.querySelectorAll('button.verplaats').forEach(knop => knop.addEventListener('click', () => {
+            const tr = knop.closest('tr'), d = knop.dataset;
+            const veld = v => tr.querySelector(`[data-veld="${v}"]`);
+            huidigeRij = tr;
+            form.person_id.value = d.person;
+            form.voornaam.value = d.voornaam; form.achternaam.value = d.achternaam;
+            form.email.value = veld('email').value.trim(); form.upn.value = veld('upn').value.trim();
+            form.functie.value = veld('functie').value; form.rol.value = veld('rol').value;
+            form.start.value = {{ periode[0].isoformat()|tojson }}; form.einde.value = {{ periode[1].isoformat()|tojson }};
+            form.instellingsnummer.value = d.instelling; form.telefoon.value = d.telefoon;
+            document.getElementById('vpTitel').textContent = `${d.voornaam} ${d.achternaam} naar de verzameltabel`;
+            fout.style.display = 'none'; bewaar.disabled = false;
+            venster.style.display = 'block';
+            form.voornaam.focus();
+        }));
+        document.getElementById('vpSluit').addEventListener('click', sluit);
+        document.getElementById('vpAnnuleer').addEventListener('click', sluit);
+        venster.addEventListener('click', e => { if (e.target === venster) sluit(); });
+        document.addEventListener('keydown', e => { if (e.key === 'Escape' && venster.style.display === 'block') sluit(); });
+        form.addEventListener('submit', e => {
+            e.preventDefault();
+            const gegevens = Object.fromEntries(new FormData(form).entries());
+            bewaar.disabled = true; fout.style.display = 'none';
+            fetch("{{ url_for('gopro.verplaats') }}", {
+                method: 'POST', credentials: 'same-origin', headers: {'Content-Type': 'application/json'},
+                body: JSON.stringify(gegevens)
+            }).then(r => r.json()).then(res => {
+                if (!res.ok) { fout.textContent = res.fout || 'Mislukt.'; fout.style.display = 'block'; bewaar.disabled = false; return; }
+                const tr = huidigeRij;
+                sluit();
+                if (tr) tr.remove();
+                const t = document.getElementById('groenTeller'); if (t) t.textContent = `📚 Verzameltabel (${res.totaal})`;
+                telLegende(); hertoon();
+            }).catch(() => { fout.textContent = 'Mislukt: geen verbinding met PIVOT.'; fout.style.display = 'block'; bewaar.disabled = false; });
+        });
+    })();
+
+    document.querySelectorAll('button.negeer').forEach(knop => knop.addEventListener('click', () => {
+        const tr = knop.closest('tr');
+        tr.classList.add('weg');
+        fetch("{{ url_for('gopro.negeer') }}", {
+            method: 'POST', credentials: 'same-origin', headers: {'Content-Type': 'application/json'},
+            body: JSON.stringify({person_id: knop.dataset.person})
+        }).then(r => r.json()).then(res => {
+            if (!res.ok) { tr.classList.remove('weg'); alert(res.fout || 'Mislukt.'); return; }
+            tr.remove();
+            const t = document.getElementById('roodTeller'); if (t) t.textContent = `🚫 Rode lijst (${res.totaal})`;
+            telLegende(); hertoon();
+        }).catch(() => { tr.classList.remove('weg'); alert('Mislukt: geen verbinding met PIVOT.'); });
+    }));
+
+    const gk = document.getElementById('googleKnop');
+    if (gk) gk.addEventListener('click', () => controleerGoogle(true));
+
+    // E-mail of UPN wijzigen: bewaren bij het verlaten van het veld (of Enter)
+    document.querySelectorAll('input.adres').forEach(inp => {
+        inp.addEventListener('keydown', e => { if (e.key === 'Enter') { e.preventDefault(); inp.blur(); } });
+        inp.addEventListener('change', () => {
+            const status = inp.nextElementSibling;
+            status.textContent = '…';
+            fetch("{{ url_for('gopro.keuze') }}", {
+                method: 'POST', credentials: 'same-origin', headers: {'Content-Type': 'application/json'},
+                body: JSON.stringify({person_id: inp.dataset.person, veld: inp.dataset.veld, waarde: inp.value})
+            }).then(r => r.json()).then(res => {
+                if (!res.ok) {
+                    status.textContent = '⚠️'; status.title = res.fout || 'Niet opgeslagen';
+                    alert(res.fout || 'Niet opgeslagen'); inp.value = inp.dataset.oud; return;
+                }
+                const leeg = !inp.value.trim();
+                if (res.waarde !== undefined && res.waarde !== null) inp.value = res.waarde;
+                inp.dataset.oud = inp.value;
+                inp.classList.toggle('aangepast', !leeg);
+                inp.closest('td').dataset.sort = inp.value;
+                status.textContent = '✓'; status.title = 'Opgeslagen';
+                setTimeout(() => { status.textContent = ''; }, 2000);
+                if (googleAdressen) controleerGoogle(false);      // ook het nieuwe adres laten nakijken
+            }).catch(() => { status.textContent = '⚠️'; status.title = 'Niet opgeslagen'; inp.value = inp.dataset.oud; });
+        });
+    });
+    controleerGoogle(false);
+
+    // Functie of rol wijzigen: meteen bewaren
+    document.querySelectorAll('select.rol').forEach(sel => sel.addEventListener('change', () => {
+        const status = sel.nextElementSibling;
+        status.textContent = '…';
+        fetch("{{ url_for('gopro.keuze') }}", {
+            method: 'POST', credentials: 'same-origin', headers: {'Content-Type': 'application/json'},
+            body: JSON.stringify({person_id: sel.dataset.person, veld: sel.dataset.veld, waarde: sel.value})
+        }).then(r => r.json()).then(res => {
+            status.textContent = res.ok ? '✓' : '⚠️';
+            status.title = res.ok ? 'Opgeslagen' : (res.fout || 'Niet opgeslagen');
+            sel.classList.toggle('anders', sel.value !== 'Leerkracht');
+            sel.closest('td').dataset.sort = sel.value;
+            if (res.ok) setTimeout(() => { status.textContent = ''; }, 2000);
+        }).catch(() => { status.textContent = '⚠️'; status.title = 'Niet opgeslagen'; });
+    }));
+
+    // Zoeken, sorteren en pagineren in de browser
+    (function () {
+        const body = document.getElementById('personeelBody');
+        if (!body || body.querySelector('.empty-row')) return;
+        let PER_PAGINA = perPagina('gopro');
+        let pagina = 1, kol = null, op = true, zoek = '';
+        const tekst = tr => Array.from(tr.cells).map(td => td.dataset.sort || td.textContent).join(' ').toLowerCase();
+
+        function zichtbaar() {
+            return Array.from(body.rows).filter(tr => (!zoek || tekst(tr).includes(zoek))
+                                                      && (!kleurFilter || tr.classList.contains('g-' + kleurFilter)));
+        }
+
+        function toon() {
+            const rijen = zichtbaar();
+            const grootte = PER_PAGINA || Infinity;
+            const paginas = Math.max(1, Math.ceil(rijen.length / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER_PAGINA ? (pagina - 1) * PER_PAGINA : 0, tot = van + grootte;
+            Array.from(body.rows).forEach(tr => tr.style.display = 'none');
+            rijen.forEach((tr, i) => tr.style.display = (i >= van && i < tot) ? '' : 'none');
+            document.getElementById('teller').textContent = rijen.length
+                ? `${van + 1}–${Math.min(tot, rijen.length)} van ${rijen.length} rij(en)` : 'Geen resultaten';
+            const nav = document.getElementById('paginering');
+            nav.innerHTML = '';
+            if (paginas <= 1) return;
+            const knop = (label, p, actief, titel) => {
+                const b = document.createElement('button');
+                b.type = 'button'; b.textContent = label; b.className = 'btn-sm ' + (actief ? 'btn-secondary' : 'btn-light');
+                if (titel) b.title = titel;
+                b.onclick = () => { pagina = p; toon(); body.closest('.table-wrap').scrollIntoView({ block: 'start' }); };
+                nav.appendChild(b);
+            };
+            if (pagina > 1) { knop('«', 1, false, 'Eerste pagina'); knop('‹ Vorige', pagina - 1); }
+            for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+            if (pagina < paginas) { knop('Volgende ›', pagina + 1); knop('»', paginas, false, 'Laatste pagina'); }
+            const info = document.createElement('span');
+            info.className = 'muted small'; info.textContent = `pagina ${pagina} van ${paginas}`;
+            nav.appendChild(info);
+        }
+
+        document.getElementById('zoek').addEventListener('input', e => { zoek = e.target.value.trim().toLowerCase(); pagina = 1; toon(); });
+        document.querySelectorAll('th.sorteer').forEach(th => th.addEventListener('click', () => {
+            const k = +th.dataset.kol;
+            op = kol === k ? !op : true; kol = k;
+            document.querySelectorAll('th.sorteer').forEach(x => x.classList.remove('op', 'af'));
+            th.classList.add(op ? 'op' : 'af');
+            Array.from(body.rows).sort((a, b) => {
+                const x = a.cells[k].dataset.sort || '', y = b.cells[k].dataset.sort || '';
+                if (!x !== !y) return x ? -1 : 1;
+                const c = x.localeCompare(y, 'nl', { numeric: true, sensitivity: 'base' });
+                return op ? c : -c;
+            }).forEach(tr => body.appendChild(tr));
+            pagina = 1; toon();
+        }));
+        perPaginaKiezer(document.getElementById('perPagina'), 'gopro', n => { PER_PAGINA = n; pagina = 1; toon(); });
+        herteken = () => { pagina = 1; toon(); };
+        hertoon = () => toon();
+        document.querySelectorAll('button.kleurfilter').forEach(b => b.addEventListener('click', () => {
+            kleurFilter = (b.dataset.kleur && kleurFilter !== b.dataset.kleur) ? b.dataset.kleur : '';
+            const exp = document.getElementById('exportKnop');      // export volgt de kleurkeuze
+            if (exp) exp.href = "{{ url_for('gopro.export') }}" + (kleurFilter ? '?kleur=' + kleurFilter : '');
+            document.querySelectorAll('button.kleurfilter').forEach(x => {
+                const aan = x.dataset.kleur === kleurFilter;
+                x.classList.toggle('actief', aan); x.setAttribute('aria-pressed', String(aan));
+            });
+            herteken();
+        }));
+        toon();
+    })();
+</script>
+{% endblock %}
diff --git a/templates/gopro_verzameld.html b/templates/gopro_verzameld.html
new file mode 100644
index 0000000..a60705d
--- /dev/null
+++ b/templates/gopro_verzameld.html
@@ -0,0 +1,291 @@
+{% extends "base.html" %}
+
+{% block title %}GO! Pro verzameltabel{% endblock %}
+{% block page_title %}GO! Pro verzameltabel{% endblock %}
+{% block main_class %}wide{% endblock %}
+
+{% block extra_css %}
+<style>
+    .filter-bar { display: flex; flex-wrap: wrap; gap: 10px; align-items: center; margin: 14px 0 10px; }
+    .filter-bar input[type=search] { flex: 0 1 320px; }
+    .filter-bar #schoolFilter { width: auto; min-width: 220px; flex: 0 1 280px; }
+    .filter-bar #perPagina select { width: auto; min-width: 0; }
+    td.school { min-width: 120px; max-width: 190px; }
+    /* Compacte tabel: alles past zonder horizontaal scrollen */
+    #body td, table th { padding: 8px 9px; }
+    #body td { font-size: 13.5px; }
+    td.mail { overflow-wrap: anywhere; min-width: 160px; max-width: 260px; }
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+    td.nowrap { white-space: nowrap; }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+    .lijst-tabs { display: flex; flex-wrap: wrap; gap: 8px; margin-bottom: 14px; }
+    .lijst-tabs a { padding: 8px 14px; border-radius: 999px; border: 1px solid var(--border); background: var(--surface, #fff);
+                    text-decoration: none; color: var(--text, #1e293b); font-weight: 600; font-size: .92em; }
+    .lijst-tabs a b { margin-left: 4px; font-weight: 700; color: var(--text-muted, #64748b); }
+    .lijst-tabs a.actief { border-color: var(--primary-color); color: var(--primary-color); background: var(--primary-light); }
+    .lijst-tabs a.rood.actief { border-color: #dc2626; color: #b91c1c; background: #fee2e2; }
+    .lijst-tabs a.verzonden.actief { border-color: #16a34a; color: #15803d; background: #dcfce7; }
+    .rode-lijst { border-top: 4px solid #dc2626; }
+    .verzonden-lijst { border-top: 4px solid #16a34a; }
+    .per-school { display: flex; flex-wrap: wrap; gap: 8px; margin-top: 10px; }
+    .per-school .chip { display: inline-flex; gap: 6px; align-items: center; padding: 3px 10px; border-radius: 999px;
+                        background: var(--surface-muted); border: 1px solid var(--border); font-size: .88em;
+                        color: inherit; font-weight: 400; cursor: pointer; width: auto; margin: 0; }
+    .per-school .chip:hover { border-color: var(--primary-color); }
+    .per-school .chip[aria-pressed="true"] { border-color: var(--primary-color); background: var(--primary-light);
+                                              color: var(--primary-color); font-weight: 600; }
+</style>
+{% endblock %}
+
+{% block content %}
+{% set lijstnaam = 'de rode lijst' if rood else ('de lijst met verzonden personeelsleden' if verzonden else 'de verzameltabel') %}
+<nav class="lijst-tabs" aria-label="Lijsten">
+    <a href="{{ url_for('gopro.verzameltabel') }}" class="{{ 'actief' if lijst == 'groen' }}">📚 Verzameltabel <b id="telGroen">{{ aantal_groen }}</b></a>
+    <a href="{{ url_for('gopro.verzameltabel', lijst='verzonden') }}" class="verzonden {{ 'actief' if verzonden }}">📨 Verzonden <b id="telVerzonden">{{ aantal.verzonden }}</b></a>
+    <a href="{{ url_for('gopro.verzameltabel', lijst='rood') }}" class="rood {{ 'actief' if rood }}">🚫 Rode lijst (genegeerd) <b id="telRood">{{ aantal_rood }}</b></a>
+</nav>
+<div class="card {{ 'rode-lijst' if rood }}{{ 'verzonden-lijst' if verzonden }}">
+    <div class="page-head">
+        <h2>{{ '🚫 Rode lijst GO! Pro' if rood else ('📨 Verzonden naar GO! Pro' if verzonden else '📚 Verzameltabel GO! Pro') }} <span class="muted small">(<span id="telHier">{{ rijen|length }}</span>)</span></h2>
+        <div class="actions">
+            <a class="btn btn-light btn-sm" href="{{ url_for('gopro.overzicht') }}">← Personeel van deze school</a>
+            {% if rijen and not rood %}
+            <a class="btn btn-success btn-sm" id="exportKnop" href="{{ url_for('gopro.verzameltabel_export', lijst='verzonden' if verzonden else None) }}">⬇️ CSV alle scholen</a>
+            {% endif %}
+        </div>
+    </div>
+    {% if rood %}
+    <p class="field-hint" style="margin-top:-6px">Personeelsleden die je met 🚫 naast hun naam op de GO! Pro-pagina hebt
+        weggezet. Ze worden genegeerd: ze komen niet in de CSV en verschijnen niet meer op de GO! Pro-pagina van hun school,
+        ook niet na een nieuwe ophaling. Haal je iemand hier weg, dan verschijnt hij daar opnieuw.</p>
+    {% elif verzonden %}
+    <p class="field-hint" style="margin-top:-6px">Personeelsleden die al naar GO! Pro doorgestuurd zijn (met
+        <strong>✅ Markeer als verzonden</strong> in de verzameltabel). Ze worden nooit opnieuw aan de verzameltabel toegevoegd,
+        ook niet door de nachtelijke verzameling, en verschijnen niet meer op de GO! Pro-pagina van hun school. Haal je iemand
+        hier weg, dan verschijnt hij daar opnieuw.</p>
+    {% else %}
+    <p class="field-hint" style="margin-top:-6px">De groene personeelsleden (account bestaat in Google) van elke school die je hier
+        verzamelt, komen samen in één tabel voor één grote GO! Pro-import. Wie hier staat, wordt op de GO! Pro-pagina van zijn
+        school niet meer getoond. Haal je iemand hier weg, dan verschijnt hij daar opnieuw.</p>
+    {% endif %}
+
+    {% if scholen %}
+    <div class="per-school">
+        {% for code, naam in scholen %}
+        <button type="button" class="chip" data-school="{{ code }}" aria-pressed="false" title="Enkel {{ naam }} tonen (nog eens klikken = alle scholen)">{{ naam }} <b>{{ rijen|selectattr('School_code', 'equalto', code)|list|length }}</b></button>
+        {% endfor %}
+    </div>
+    {% endif %}
+
+    {% if rijen %}
+    <div class="filter-bar">
+        <input type="search" id="zoek" placeholder="Zoek op naam, e-mail, functie of rol..." aria-label="Zoeken">
+        <select id="schoolFilter" aria-label="School">
+            <option value="">Alle scholen</option>
+            {% for code, naam in scholen %}<option value="{{ code }}">{{ naam }}</option>{% endfor %}
+        </select>
+        <span id="perPagina"></span>
+        <nav class="paginering" id="pagineringBoven" aria-label="Pagina's" style="margin-left:auto"></nav>
+    </div>
+
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr>
+                    <th class="sorteer" data-tekst>School <span class="pijl"></span></th>
+                    <th class="sorteer" data-tekst>Voornaam <span class="pijl"></span></th>
+                    <th class="sorteer" data-tekst>Achternaam <span class="pijl"></span></th>
+                    <th class="sorteer" data-tekst>E-mail / UPN <span class="pijl"></span></th>
+                    <th class="sorteer" data-tekst>Instelling <span class="pijl"></span></th>
+                    <th class="sorteer" data-tekst>Functie / rol <span class="pijl"></span></th>
+                    <th class="sorteer" title="Start en einde">Periode <span class="pijl"></span></th>
+                    <th class="sorteer">{{ 'Verzonden' if verzonden else 'Toegevoegd' }} <span class="pijl"></span></th>
+                    <th class="actions"></th>
+                </tr>
+            </thead>
+            <tbody id="body">
+            {% for r in rijen %}
+                <tr data-school="{{ r.School_code }}">
+                    <td class="school" data-sort="{{ r.School_naam or r.School_code }}">{{ r.School_naam or r.School_code }}</td>
+                    <td data-sort="{{ r.Voornaam or '' }}">{{ r.Voornaam or '' }}</td>
+                    <td data-sort="{{ r.Achternaam or '' }}"><strong>{{ r.Achternaam or '' }}</strong></td>
+                    <td class="mail" data-sort="{{ r.Email or '' }}">{{ (r.Email or '')|replace('@', '@\u200b') }}{% if r.UPN and r.UPN != r.Email %}<br><span class="muted small">UPN: {{ r.UPN }}</span>{% endif %}</td>
+                    <td class="nowrap" data-sort="{{ r.Instellingsnummer or '' }}">{{ r.Instellingsnummer or '' }}</td>
+                    <td data-sort="{{ r.Functie or r.Rol or '' }}">{{ r.Functie or '' }}{% if r.Rol and r.Rol != r.Functie %}<br><span class="muted small">{{ r.Rol }}</span>{% endif %}</td>
+                    <td class="nowrap small" data-sort="{{ r.Startdatum.isoformat() if r.Startdatum else '' }}">{{ r.Startdatum.strftime('%d-%m-%Y') if r.Startdatum else '' }}{% if r.Einddatum %}<br><span class="muted">tot {{ r.Einddatum.strftime('%d-%m-%Y') }}</span>{% endif %}</td>
+                    {% if verzonden and r.Verzonden %}
+                    <td class="nowrap muted small" data-sort="{{ r.Verzonden.isoformat() }}" title="{{ r.Verzonden.strftime('%H:%M') }}{{ ' door ' ~ r.Verzonden_door if r.Verzonden_door }} · toegevoegd {{ r.Toegevoegd.strftime('%d-%m-%Y') }}">{{ r.Verzonden.strftime('%d-%m-%Y') }}</td>
+                    {% else %}
+                    <td class="nowrap muted small" data-sort="{{ r.Toegevoegd.isoformat() }}" title="{{ r.Toegevoegd.strftime('%H:%M') }}{{ ' door ' ~ r.Door if r.Door }}">{{ r.Toegevoegd.strftime('%d-%m-%Y') }}</td>
+                    {% endif %}
+                    <td class="actions" style="white-space:nowrap">
+                        {% if lijst == 'groen' %}
+                        {% set volle_naam = (r.Voornaam or '') ~ ' ' ~ (r.Achternaam or '') %}
+                        <form method="POST" action="{{ url_for('gopro.verzameltabel_naar_rood') }}" class="rij-actie" data-soort="rood" style="margin:0;display:inline"
+                              onsubmit="return confirm({{ (volle_naam ~ ' naar de rode lijst verplaatsen? Die wordt dan genegeerd: niet meer geëxporteerd en nooit meer getoond.')|tojson|forceescape }})">
+                            <input type="hidden" name="id" value="{{ r.ID }}"><input type="hidden" name="naam" value="{{ volle_naam }}">
+                            <button type="submit" class="btn-sm btn-ghost" title="Naar de rode lijst (negeren)">🚫</button>
+                        </form>
+                        {% endif %}
+                        <form method="POST" action="{{ url_for('gopro.verzameltabel_verwijderen') }}" class="rij-actie" data-soort="weg" style="margin:0;display:inline"
+                              onsubmit="return confirm({{ ((r.Voornaam or '') ~ ' ' ~ (r.Achternaam or '') ~ ' uit ' ~ lijstnaam ~ ' halen? Die verschijnt dan weer op de GO! Pro-pagina van de school.')|tojson|forceescape }})">
+                            <input type="hidden" name="id" value="{{ r.ID }}">
+                            {% if lijst != 'groen' %}<input type="hidden" name="lijst" value="{{ lijst }}">{% endif %}
+                            <button type="submit" class="btn-sm btn-ghost" title="Uit {{ lijstnaam }} halen">🗑️</button>
+                        </form>
+                    </td>
+                </tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+    <div class="tabel-voet">
+        <div class="muted small" id="teller"></div>
+        <nav class="paginering" id="paginering" aria-label="Pagina's"></nav>
+    </div>
+
+    <div class="filter-bar" style="margin-top:22px;padding-top:14px;border-top:1px solid var(--border)">
+        <form method="POST" action="{{ url_for('gopro.verzameltabel_verwijderen') }}" style="margin:0" id="schoolLeegForm" hidden
+              onsubmit="return confirm({{ ('Alle personeelsleden van de gekozen school uit ' ~ lijstnaam ~ ' halen?')|tojson|forceescape }})">
+            <input type="hidden" name="school" id="schoolLeeg">
+            {% if lijst != 'groen' %}<input type="hidden" name="lijst" value="{{ lijst }}">{% endif %}
+            <button type="submit" class="btn-sm btn-light">🗑️ Gekozen school uit {{ lijstnaam }} halen</button>
+        </form>
+        <form method="POST" action="{{ url_for('gopro.verzameltabel_verwijderen') }}" style="margin:0"
+              onsubmit="return confirm({{ ('De volledige ' ~ ('rode lijst' if rood else 'verzameltabel') ~ ' leegmaken (' ~ rijen|length ~ ' personeelsleden van alle scholen)?')|tojson|forceescape }})">
+            <input type="hidden" name="alles" value="1">
+            {% if lijst != 'groen' %}<input type="hidden" name="lijst" value="{{ lijst }}">{% endif %}
+            <button type="submit" class="btn-sm btn-danger">🗑️ {{ 'Rode lijst' if rood else ('Lijst verzonden' if verzonden else 'Verzameltabel') }} leegmaken</button>
+        </form>
+        {% if lijst == 'groen' %}
+        <form method="POST" action="{{ url_for('gopro.verzameltabel_verzonden') }}" style="margin:0" id="verzondenForm"
+              onsubmit="const s = this.school.value, n = s ? document.querySelectorAll('#body tr[data-school=&quot;' + CSS.escape(s) + '&quot;]').length : {{ rijen|length }};
+                        return confirm(n + ' personeelsleden' + (s ? ' van ' + document.getElementById('schoolFilter').selectedOptions[0].text : ' van alle scholen') + ' markeren als verzonden?\n\nZe verdwijnen uit de verzameltabel en worden nooit opnieuw toegevoegd.');">
+            <input type="hidden" name="school" id="schoolVerzonden">
+            <button type="submit" class="btn-sm btn-success" id="verzondenKnop">✅ Markeer als verzonden</button>
+        </form>
+        {% endif %}
+    </div>
+    {% else %}
+    {% if verzonden %}
+    <p class="muted" style="margin-top:14px">Er is nog niemand als verzonden gemarkeerd.</p>
+    {% elif rood %}
+    <p class="muted" style="margin-top:14px">De rode lijst is nog leeg. Klik op GO! Pro op 🚫 naast een naam om iemand te negeren.</p>
+    {% else %}
+    <p class="muted" style="margin-top:14px">De verzameltabel is nog leeg. Open GO! Pro in een school en klik op
+        <strong>➕ Groene naar verzameltabel</strong>.</p>
+    {% endif %}
+    {% endif %}
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    (function () {
+        const body = document.getElementById('body');
+        if (!body) return;
+        const zoekveld = document.getElementById('zoek'), schoolSel = document.getElementById('schoolFilter');
+        const exp = document.getElementById('exportKnop'), basisExport = exp ? exp.href : '';
+        let PER_PAGINA = perPagina('gopro-verzameltabel', 10), pagina = 1, zoek = '', school = '';
+        function toon() {
+            const rijen = Array.from(body.rows).filter(tr => (!school || tr.dataset.school === school)
+                && (!zoek || tr.textContent.replace(/\u200b/g, '').toLowerCase().includes(zoek)));
+            const grootte = PER_PAGINA || Infinity, paginas = Math.max(1, Math.ceil(rijen.length / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER_PAGINA ? (pagina - 1) * PER_PAGINA : 0, tot = van + grootte;
+            Array.from(body.rows).forEach(tr => tr.style.display = 'none');
+            rijen.forEach((tr, i) => tr.style.display = (i >= van && i < tot) ? '' : 'none');
+            document.getElementById('teller').textContent = rijen.length
+                ? `${van + 1}–${Math.min(tot, rijen.length)} van ${rijen.length}` : 'Niets gevonden';
+            ['paginering', 'pagineringBoven'].forEach(id => {
+                const nav = document.getElementById(id);
+                nav.innerHTML = '';
+                if (paginas <= 1) return;
+                const knop = (label, p, actief) => {
+                    const b = document.createElement('button');
+                    b.type = 'button'; b.textContent = label; b.className = 'btn-sm ' + (actief ? 'btn-secondary' : 'btn-light');
+                    b.onclick = () => { pagina = p; toon(); };
+                    nav.appendChild(b);
+                };
+                if (pagina > 1) { knop('«', 1); knop('‹ Vorige', pagina - 1); }
+                for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+                if (pagina < paginas) { knop('Volgende ›', pagina + 1); knop('»', paginas); }
+                const info = document.createElement('span');
+                info.className = 'muted small'; info.textContent = `pagina ${pagina} van ${paginas}`;
+                nav.appendChild(info);
+            });
+        }
+        zoekveld.addEventListener('input', () => { zoek = zoekveld.value.trim().toLowerCase(); pagina = 1; toon(); });
+        // 🚫 en 🗑️ per rij zonder de pagina te herladen: zoekopdracht, school en pagina blijven staan
+        const melding = document.createElement('div');
+        melding.className = 'alert'; melding.style.display = 'none'; melding.style.margin = '10px 0';
+        body.closest('.table-wrap').before(melding);
+        const tel = (id, d) => { const el = document.getElementById(id); if (el) el.textContent = Math.max(0, (+el.textContent || 0) + d); };
+        body.addEventListener('submit', e => {
+            const form = e.target;
+            if (!form.classList.contains('rij-actie') || e.defaultPrevented) return;
+            e.preventDefault();
+            const knop = form.querySelector('button'); knop.disabled = true;
+            fetch(form.action, { method: 'POST', body: new FormData(form), credentials: 'same-origin',
+                                 headers: { 'X-Requested-With': 'fetch' } })
+                .then(r => r.json()).then(r => {
+                    melding.style.display = '';
+                    melding.className = 'alert ' + (r.ok ? 'alert-success' : 'alert-danger');
+                    melding.textContent = r.melding || (r.ok ? 'Gelukt.' : 'Mislukt.');
+                    clearTimeout(melding._t); melding._t = setTimeout(() => melding.style.display = 'none', 4000);
+                    if (!r.ok) { knop.disabled = false; return; }
+                    form.closest('tr').remove();
+                    tel('telHier', -1);
+                    tel({{ ('telGroen' if lijst == 'groen' else ('telRood' if rood else 'telVerzonden'))|tojson }}, -1);
+                    if (form.dataset.soort === 'rood') tel('telRood', 1);
+                    toon();
+                }).catch(() => { knop.disabled = false; alert('Er ging iets mis; probeer opnieuw.'); });
+        });
+        schoolSel.addEventListener('change', () => {
+            school = schoolSel.value; pagina = 1; toon();
+            // Export en "school leegmaken" volgen de gekozen school
+            if (exp) {
+                exp.href = school ? basisExport + '?school=' + encodeURIComponent(school) : basisExport;
+                exp.textContent = school ? '⬇️ CSV ' + schoolSel.options[schoolSel.selectedIndex].text : '⬇️ CSV alle scholen';
+            }
+            document.querySelectorAll('.per-school .chip').forEach(c =>
+                c.setAttribute('aria-pressed', String(!!school && c.dataset.school === school)));
+            document.getElementById('schoolLeeg').value = school;
+            const vz = document.getElementById('schoolVerzonden');
+            if (vz) {
+                vz.value = school;
+                document.getElementById('verzondenKnop').textContent = school
+                    ? '✅ ' + schoolSel.options[schoolSel.selectedIndex].text + ' markeren als verzonden' : '✅ Markeer als verzonden';
+            }
+            document.getElementById('schoolLeegForm').hidden = !school;
+        });
+        // Klik op een schoollabel = filteren op die school (nog eens klikken = alle scholen)
+        document.querySelectorAll('.per-school .chip').forEach(c => c.addEventListener('click', () => {
+            schoolSel.value = schoolSel.value === c.dataset.school ? '' : c.dataset.school;
+            schoolSel.dispatchEvent(new Event('change'));
+        }));
+        let kol = null, op = true;
+        document.querySelectorAll('th.sorteer').forEach(th => th.addEventListener('click', () => {
+            const k = th.cellIndex;
+            op = kol === k ? !op : 'tekst' in th.dataset;
+            kol = k;
+            document.querySelectorAll('th.sorteer').forEach(x => x.classList.remove('op', 'af'));
+            th.classList.add(op ? 'op' : 'af');
+            Array.from(body.rows).sort((a, b) => {
+                const x = a.cells[k].dataset.sort || '', y = b.cells[k].dataset.sort || '';
+                if (!x !== !y) return x ? -1 : 1;
+                const c = x.localeCompare(y, 'nl', { numeric: true, sensitivity: 'base' });
+                return op ? c : -c;
+            }).forEach(tr => body.appendChild(tr));
+            pagina = 1; toon();
+        }));
+        perPaginaKiezer(document.getElementById('perPagina'), 'gopro-verzameltabel', n => { PER_PAGINA = n; pagina = 1; toon(); }, 10);
+        toon();
+    })();
+</script>
+{% endblock %}
diff --git a/templates/grafiek.html b/templates/grafiek.html
new file mode 100644
index 0000000..b647ed2
--- /dev/null
+++ b/templates/grafiek.html
@@ -0,0 +1,80 @@
+{% extends "base.html" %}
+
+{% block title %}CO2-verloop {{ lokaal }}{% endblock %}
+{% block page_title %}CO2-verloop: {{ lokaal }}{% endblock %}
+{% block main_class %}medium{% endblock %}
+
+{% block head %}
+<script src="https://cdn.jsdelivr.net/npm/chart.js"></script>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>📊 {{ lokaal }}</h2>
+        <div class="actions">
+            <a href="{{ url_for('co2_sensor.dashboard') }}" class="btn btn-light">⬅ Terug</a>
+            <button type="button" onclick="downloadChart()" class="btn-success">💾 Download als JPEG</button>
+        </div>
+    </div>
+
+    <div id="chart-wrapper" style="width: 100%; height: 420px; background: #fff;">
+        <canvas id="co2Chart"></canvas>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    const ctx = document.getElementById('co2Chart').getContext('2d');
+
+    // Witte achtergrond zodat de JPEG-export niet zwart wordt
+    const whiteBackgroundPlugin = {
+        id: 'custom_canvas_background_color',
+        beforeDraw: (chart) => {
+            const c = chart.canvas.getContext('2d');
+            c.save();
+            c.globalCompositeOperation = 'destination-over';
+            c.fillStyle = 'white';
+            c.fillRect(0, 0, chart.width, chart.height);
+            c.restore();
+        }
+    };
+
+    const co2Chart = new Chart(ctx, {
+        type: 'line',
+        data: {
+            labels: {{ labels|tojson }},
+            datasets: [{
+                label: 'CO2-gehalte (ppm)',
+                data: {{ data|tojson }},
+                borderColor: '#1e6fa5',
+                backgroundColor: 'rgba(30, 111, 165, 0.1)',
+                borderWidth: 2,
+                pointRadius: 2,
+                fill: true,
+                tension: 0.3
+            }]
+        },
+        options: {
+            responsive: true,
+            maintainAspectRatio: false,
+            plugins: { legend: { display: false } },
+            scales: {
+                y: { beginAtZero: false, suggestedMin: 400, title: { display: true, text: 'ppm' }, grid: { color: '#eef2f6' } },
+                x: { title: { display: true, text: 'Tijdstip' }, grid: { display: false } }
+            }
+        },
+        plugins: [whiteBackgroundPlugin]
+    });
+
+    function downloadChart() {
+        const canvas = document.getElementById('co2Chart');
+        const link = document.createElement('a');
+        const timestamp = new Date().toISOString().slice(0, 10);
+        link.download = `CO2_Grafiek_{{ lokaal }}_${timestamp}.jpg`;
+        link.href = canvas.toDataURL('image/jpeg', 0.9);
+        link.click();
+    }
+</script>
+{% endblock %}
diff --git a/templates/handleiding.html b/templates/handleiding.html
new file mode 100644
index 0000000..5bb533d
--- /dev/null
+++ b/templates/handleiding.html
@@ -0,0 +1,71 @@
+{% extends "base.html" %}
+
+{% block title %}{{ h.Titel }}{% endblock %}
+{% block page_title %}Handleidingen{% endblock %}
+
+{% block extra_css %}
+{% include "_handleiding_stijl.html" %}
+<style>
+    .hl-layout { display: grid; grid-template-columns: 1fr 230px; gap: 28px; align-items: start; }
+    .hl-toc { position: sticky; top: 14px; border-left: 2px solid var(--border); padding-left: 14px; font-size: .9rem; }
+    .hl-toc strong { display: block; margin-bottom: 8px; font-size: .78rem; text-transform: uppercase; color: var(--text-muted); letter-spacing: .05em; }
+    .hl-toc a { display: block; padding: 4px 0; color: var(--text-muted); text-decoration: none; }
+    .hl-toc a:hover { color: var(--primary-color); }
+    .hl-toc a.n3 { padding-left: 12px; font-size: .85rem; }
+    .hl-meta { color: var(--text-muted); font-size: .85rem; margin: -6px 0 18px; }
+    .terug { margin-bottom: 14px; display: inline-block; }
+    @media (max-width: 900px) { .hl-layout { grid-template-columns: 1fr; } .hl-toc { display: none; } }
+    @media print {
+        .app-header, .app-footer, .terug, .hl-toc, .page-head .actions, .flash-container, .alert { display: none !important; }
+        .card { box-shadow: none; border: 0; }
+        .hl-layout { display: block; }
+    }
+</style>
+{% endblock %}
+
+{% block content %}
+<a class="terug" href="{{ url_for('handleidingen.overzicht') }}">← Alle handleidingen</a>
+
+<div class="card">
+    {% if versie %}
+    <div class="alert alert-warning" style="display:flex;justify-content:space-between;align-items:center;gap:12px;flex-wrap:wrap">
+        <span>Je bekijkt een <strong>oudere versie</strong> van {{ versie.Opgeslagen_op.strftime('%d-%m-%Y %H:%M') }}{% if versie.Door %} ({{ versie.Door }}){% endif %}.</span>
+        <span style="display:flex;gap:8px">
+            <form method="POST" action="{{ url_for('handleidingen.terugzetten', slug=h.Slug, vid=versie.Versie_ID) }}" style="margin:0"
+                  onsubmit="return confirm('Deze versie terugzetten? De huidige tekst blijft bewaard bij de versies.')">
+                <button type="submit" class="btn-sm btn-warning">↩️ Deze versie terugzetten</button>
+            </form>
+            <a class="btn btn-sm btn-light" href="{{ url_for('handleidingen.bekijk', slug=h.Slug) }}">Huidige versie</a>
+        </span>
+    </div>
+    {% endif %}
+
+    <div class="page-head">
+        <h2>{{ versie.Titel if versie else h.Titel }}</h2>
+        <div class="actions">
+            <button type="button" class="btn-sm btn-light" onclick="window.print()">🖨️ Afdrukken / PDF</button>
+            {% if is_admin and not versie %}
+            <a class="btn btn-sm btn-warning" href="{{ url_for('handleidingen.bewerken', slug=h.Slug) }}">✏️ Bewerken</a>
+            {% endif %}
+        </div>
+    </div>
+    <div class="hl-meta">
+        {% if h.Categorie %}{{ h.Categorie }} · {% endif %}
+        Bijgewerkt {{ h.Gewijzigd_op.strftime('%d-%m-%Y %H:%M') }}{% if h.Gewijzigd_door %} door {{ h.Gewijzigd_door }}{% endif %}
+        {% if h.Zichtbaar == 'admins' %} · <span class="badge badge-warning">🔒 enkel admins</span>{% endif %}
+    </div>
+
+    <div class="hl-layout">
+        <article class="hl-inhoud">
+            {{ inhoud|safe }}
+            {% if not inhoud %}<p class="muted">Deze handleiding is nog leeg.</p>{% endif %}
+        </article>
+        {% if toc|length > 1 %}
+        <nav class="hl-toc" aria-label="Inhoud">
+            <strong>Inhoud</strong>
+            {% for hid, tekst, niveau in toc %}<a class="n{{ niveau }}" href="#{{ hid }}">{{ tekst }}</a>{% endfor %}
+        </nav>
+        {% endif %}
+    </div>
+</div>
+{% endblock %}
diff --git a/templates/handleiding_bewerken.html b/templates/handleiding_bewerken.html
new file mode 100644
index 0000000..844aca8
--- /dev/null
+++ b/templates/handleiding_bewerken.html
@@ -0,0 +1,271 @@
+{% extends "base.html" %}
+
+{% block title %}{{ 'Nieuwe handleiding' if nieuw else 'Bewerken: ' ~ h.Titel }}{% endblock %}
+{% block page_title %}Handleidingen{% endblock %}
+
+{% block extra_css %}
+{% include "_handleiding_stijl.html" %}
+<style>
+    .terug { margin-bottom: 14px; display: inline-block; }
+    .hl-velden { display: grid; grid-template-columns: 2fr 1fr 1fr 110px; gap: 0 14px; }
+    @media (max-width: 800px) { .hl-velden { grid-template-columns: 1fr; } }
+    .editor-wrap { border: 1px solid var(--border-strong); border-radius: var(--radius); background: var(--surface); }
+    .toolbar { display: flex; flex-wrap: wrap; gap: 4px; padding: 6px; border-bottom: 1px solid var(--border);
+               background: var(--surface-muted); border-radius: var(--radius) var(--radius) 0 0; position: sticky; top: 0; z-index: 5; }
+    .toolbar button, .toolbar select { padding: 4px 9px; font-size: 13px; min-width: 32px; background: var(--surface);
+                                        color: var(--text); border: 1px solid var(--border); border-radius: 6px; cursor: pointer; width: auto; }
+    .toolbar button:hover { border-color: var(--primary-color); color: var(--primary-color); }
+    .toolbar button.aan { background: var(--primary-light); border-color: var(--primary-color); }
+    .toolbar .sep { width: 1px; background: var(--border-strong); margin: 2px 4px; }
+    #editor { min-height: 420px; max-height: 70vh; overflow-y: auto; padding: 16px 20px; outline: none; max-width: none; }
+    #editor:empty::before { content: "Begin hier te typen… Je kan ook schermafbeeldingen plakken (Ctrl+V) of slepen."; color: var(--text-muted); }
+    #editor img { cursor: pointer; }
+    #editor img.gekozen { outline: 3px solid var(--primary-color); }
+    #bron { display: none; width: 100%; min-height: 420px; font-family: Consolas, monospace; font-size: 13px; border: 0;
+            padding: 12px; border-radius: 0 0 var(--radius) var(--radius); }
+    .knoppen-onder { display: flex; flex-wrap: wrap; gap: 8px; margin-top: 14px; align-items: center; }
+    .versies { margin-top: 8px; }
+    .versies li { margin: 4px 0; }
+</style>
+{% endblock %}
+
+{% block content %}
+<a class="terug" href="{{ url_for('handleidingen.overzicht') if nieuw else url_for('handleidingen.bekijk', slug=h.Slug) }}">← Terug</a>
+
+<div class="card">
+    <div class="page-head"><h2>{{ '➕ Nieuwe handleiding' if nieuw else '✏️ Handleiding bewerken' }}</h2></div>
+
+    <form method="POST" id="hlForm" action="{{ url_for('handleidingen.nieuw') if nieuw else url_for('handleidingen.bewerken', slug=h.Slug) }}">
+        <div class="hl-velden">
+            <div class="field">
+                <label for="titel">Titel</label>
+                <input type="text" id="titel" name="titel" maxlength="200" required value="{{ h.Titel or '' }}">
+            </div>
+            <div class="field">
+                <label for="categorie">Categorie</label>
+                <input type="text" id="categorie" name="categorie" maxlength="100" list="cats" value="{{ h.Categorie or '' }}" placeholder="bv. Google Workspace">
+                <datalist id="cats">{% for c in categorieen %}<option value="{{ c }}">{% endfor %}</datalist>
+            </div>
+            <div class="field">
+                <label for="zichtbaar">Zichtbaar voor</label>
+                <select id="zichtbaar" name="zichtbaar">
+                    {% for k, v in ZICHTBAAR.items() %}<option value="{{ k }}" {% if h.Zichtbaar == k %}selected{% endif %}>{{ v }}</option>{% endfor %}
+                </select>
+            </div>
+            <div class="field">
+                <label for="volgorde">Volgorde</label>
+                <input type="number" id="volgorde" name="volgorde" value="{{ h.Volgorde or 0 }}">
+            </div>
+        </div>
+        <div class="field">
+            <label for="samenvatting">Korte samenvatting <span class="muted small">(toont in de lijst)</span></label>
+            <input type="text" id="samenvatting" name="samenvatting" maxlength="300" value="{{ h.Samenvatting or '' }}">
+        </div>
+
+        <label>Inhoud</label>
+        <div class="editor-wrap">
+            <div class="toolbar" role="toolbar" aria-label="Opmaak">
+                <select id="blokstijl" title="Stijl" onchange="blok(this.value); this.value=''">
+                    <option value="">Stijl…</option>
+                    <option value="p">Gewone tekst</option>
+                    <option value="h2">Kop (stap)</option>
+                    <option value="h3">Tussenkop</option>
+                    <option value="pre">Codeblok</option>
+                </select>
+                <span class="sep"></span>
+                <button type="button" data-cmd="bold" title="Vet (Ctrl+B)"><b>B</b></button>
+                <button type="button" data-cmd="italic" title="Cursief (Ctrl+I)"><i>I</i></button>
+                <button type="button" data-cmd="underline" title="Onderlijnen (Ctrl+U)"><u>U</u></button>
+                <button type="button" onclick="omring('code')" title="Code / knopnaam">&lt;/&gt;</button>
+                <button type="button" onclick="omring('mark')" title="Markeren">🖍️</button>
+                <span class="sep"></span>
+                <button type="button" data-cmd="insertOrderedList" title="Genummerde stappen">1.</button>
+                <button type="button" data-cmd="insertUnorderedList" title="Opsomming">•</button>
+                <button type="button" data-cmd="outdent" title="Minder inspringen">⇤</button>
+                <button type="button" data-cmd="indent" title="Meer inspringen">⇥</button>
+                <span class="sep"></span>
+                <button type="button" onclick="kader('tip')" title="Tip-kader (groen)">💡 Tip</button>
+                <button type="button" onclick="kader('let-op')" title="Let op-kader (geel)">⚠️ Let op</button>
+                <button type="button" onclick="kader('info')" title="Info-kader (blauw)">ℹ️ Info</button>
+                <span class="sep"></span>
+                <button type="button" onclick="link()" title="Link">🔗</button>
+                <button type="button" data-cmd="unlink" title="Link weghalen">⛓️‍💥</button>
+                <button type="button" onclick="document.getElementById('beeld').click()" title="Afbeelding / schermafbeelding">🖼️</button>
+                <button type="button" onclick="tabel()" title="Tabel">▦</button>
+                <button type="button" data-cmd="insertHorizontalRule" title="Scheidingslijn">―</button>
+                <span class="sep"></span>
+                <button type="button" data-cmd="removeFormat" title="Opmaak wissen">🧹</button>
+                <button type="button" data-cmd="undo" title="Ongedaan maken (Ctrl+Z)">↶</button>
+                <button type="button" data-cmd="redo" title="Opnieuw (Ctrl+Y)">↷</button>
+                <span class="sep"></span>
+                <button type="button" id="bronKnop" onclick="wisselBron()" title="HTML bekijken/bewerken">HTML</button>
+            </div>
+            <div id="editor" class="hl-inhoud" contenteditable="true" spellcheck="true">{{ h.Inhoud|safe if h.Inhoud else '' }}</div>
+            <textarea id="bron" spellcheck="false" aria-label="HTML"></textarea>
+        </div>
+        <input type="file" id="beeld" accept="image/*" multiple hidden onchange="bestanden(this.files); this.value=''">
+        <input type="hidden" name="inhoud" id="inhoud">
+        <p class="field-hint">Tip: plak een schermafbeelding rechtstreeks met Ctrl+V. Klik op een afbeelding en druk Delete om ze te verwijderen.
+            Grote afbeeldingen worden automatisch verkleind.</p>
+
+        <div class="knoppen-onder">
+            <button type="submit" class="btn-success">💾 Opslaan</button>
+            {% if not nieuw %}<button type="submit" name="verder" value="1" class="btn-light">💾 Opslaan en verder bewerken</button>{% endif %}
+            <a class="btn btn-light" href="{{ url_for('handleidingen.overzicht') if nieuw else url_for('handleidingen.bekijk', slug=h.Slug) }}"
+               onclick="gewijzigd=false">Annuleren</a>
+        </div>
+    </form>
+
+    {% if not nieuw %}
+    <form method="POST" action="{{ url_for('handleidingen.verwijderen', slug=h.Slug) }}" style="margin-top:18px"
+          onsubmit="gewijzigd=false; return confirm('Handleiding \'{{ h.Titel|e }}\' verwijderen?')">
+        <button type="submit" class="btn-danger btn-sm">🗑️ Handleiding verwijderen</button>
+    </form>
+    {% endif %}
+</div>
+
+{% if versies %}
+<div class="card">
+    <h3 class="card-title">🕘 Vorige versies</h3>
+    <p class="muted small">Bij elke opslag wordt de vorige tekst bewaard (de laatste 30). Open een versie om ze te bekijken of terug te zetten.</p>
+    <ul class="versies">
+        {% for v in versies %}
+        <li><a href="{{ url_for('handleidingen.versie', slug=h.Slug, vid=v.Versie_ID) }}">{{ v.Opgeslagen_op.strftime('%d-%m-%Y %H:%M') }}</a>
+            <span class="muted small">{{ v.Door or '' }}{% if v.Titel != h.Titel %} · titel: {{ v.Titel }}{% endif %}</span></li>
+        {% endfor %}
+    </ul>
+</div>
+{% endif %}
+{% endblock %}
+
+{% block scripts %}
+<script>
+(function () {
+    var ed = document.getElementById('editor'), bron = document.getElementById('bron');
+    var form = document.getElementById('hlForm');
+    var bronAan = false;
+    window.gewijzigd = false;
+    var MAX_BREEDTE = 1400;
+
+    try { document.execCommand('defaultParagraphSeparator', false, 'p'); } catch (e) {}
+    ed.addEventListener('input', function () { gewijzigd = true; });
+    ['titel', 'categorie', 'samenvatting', 'zichtbaar', 'volgorde'].forEach(function (id) {
+        document.getElementById(id).addEventListener('input', function () { gewijzigd = true; });
+    });
+    window.addEventListener('beforeunload', function (e) { if (gewijzigd) { e.preventDefault(); e.returnValue = ''; } });
+
+    function cmd(c, v) { ed.focus(); document.execCommand(c, false, v || null); gewijzigd = true; }
+    document.querySelectorAll('.toolbar [data-cmd]').forEach(function (b) {
+        b.addEventListener('mousedown', function (e) { e.preventDefault(); });
+        b.addEventListener('click', function () { cmd(b.dataset.cmd); });
+    });
+
+    window.blok = function (tag) { if (tag) cmd('formatBlock', '<' + tag + '>'); };
+
+    function selectieHtml() {
+        var sel = window.getSelection();
+        if (!sel.rangeCount) return '';
+        var div = document.createElement('div');
+        div.appendChild(sel.getRangeAt(0).cloneContents());
+        return div.innerHTML;
+    }
+    window.omring = function (tag) {
+        var h = selectieHtml() || 'tekst';
+        cmd('insertHTML', '<' + tag + '>' + h + '</' + tag + '>&#8203;');
+    };
+    window.kader = function (soort) {
+        var h = selectieHtml();
+        var titel = {tip: 'Tip:', 'let-op': 'Let op:', info: 'Info:'}[soort];
+        if (!h) h = '<strong>' + titel + '</strong> ';
+        cmd('insertHTML', '<div class="' + soort + '">' + h + '</div><p><br></p>');
+    };
+    window.link = function () {
+        var url = prompt('Link (bv. https://admin.google.com):', 'https://');
+        if (!url || url === 'https://') return;
+        if (!/^(https?:|mailto:|\/|#)/i.test(url)) url = 'https://' + url;
+        if (window.getSelection().isCollapsed) {
+            cmd('insertHTML', '<a href="' + url.replace(/"/g, '&quot;') + '" target="_blank">' + url.replace(/</g, '&lt;') + '</a>&nbsp;');
+        } else {
+            cmd('createLink', url);
+            ed.querySelectorAll('a[href="' + CSS.escape(url) + '"]').forEach(function (a) { a.target = '_blank'; });
+        }
+    };
+    window.tabel = function () {
+        var k = parseInt(prompt('Aantal kolommen?', '3'), 10), r = parseInt(prompt('Aantal rijen (zonder kop)?', '3'), 10);
+        if (!(k > 0 && r > 0)) return;
+        var h = '<table><thead><tr>';
+        for (var i = 0; i < k; i++) h += '<th>Kop ' + (i + 1) + '</th>';
+        h += '</tr></thead><tbody>';
+        for (var j = 0; j < r; j++) { h += '<tr>'; for (i = 0; i < k; i++) h += '<td>&nbsp;</td>'; h += '</tr>'; }
+        cmd('insertHTML', h + '</tbody></table><p><br></p>');
+    };
+
+    // --- afbeeldingen: knop, plakken, slepen → verkleinen → data-URL ---
+    function voegBeeldIn(file) {
+        if (!file || !/^image\//.test(file.type) || /svg/.test(file.type)) return;
+        var r = new FileReader();
+        r.onload = function () {
+            var img = new Image();
+            img.onload = function () {
+                var schaal = Math.min(1, MAX_BREEDTE / img.width);
+                var c = document.createElement('canvas');
+                c.width = Math.round(img.width * schaal); c.height = Math.round(img.height * schaal);
+                c.getContext('2d').drawImage(img, 0, 0, c.width, c.height);
+                var png = c.toDataURL('image/png'), jpg = c.toDataURL('image/jpeg', 0.85);
+                var url = (file.type === 'image/png' && png.length < jpg.length * 1.6) ? png : jpg;
+                cmd('insertHTML', '<img src="' + url + '" alt="' + (file.name || 'schermafbeelding').replace(/"/g, '') + '"><p><br></p>');
+            };
+            img.src = r.result;
+        };
+        r.readAsDataURL(file);
+    }
+    window.bestanden = function (files) { Array.prototype.forEach.call(files, voegBeeldIn); };
+    ed.addEventListener('paste', function (e) {
+        var items = (e.clipboardData || {}).items || [], beeld = false;
+        Array.prototype.forEach.call(items, function (it) {
+            if (it.kind === 'file' && /^image\//.test(it.type)) { voegBeeldIn(it.getAsFile()); beeld = true; }
+        });
+        if (beeld) e.preventDefault();
+    });
+    ed.addEventListener('dragover', function (e) { e.preventDefault(); });
+    ed.addEventListener('drop', function (e) {
+        if (e.dataTransfer && e.dataTransfer.files.length) { e.preventDefault(); bestanden(e.dataTransfer.files); }
+    });
+    ed.addEventListener('click', function (e) {
+        ed.querySelectorAll('img.gekozen').forEach(function (i) { i.classList.remove('gekozen'); });
+        if (e.target.tagName === 'IMG') e.target.classList.add('gekozen');
+    });
+    ed.addEventListener('keydown', function (e) {
+        var g = ed.querySelector('img.gekozen');
+        if (g && (e.key === 'Delete' || e.key === 'Backspace')) { e.preventDefault(); g.remove(); gewijzigd = true; }
+    });
+
+    // --- HTML-weergave ---
+    window.wisselBron = function () {
+        bronAan = !bronAan;
+        if (bronAan) { bron.value = ed.innerHTML; } else { ed.innerHTML = bron.value; }
+        ed.style.display = bronAan ? 'none' : '';
+        bron.style.display = bronAan ? 'block' : 'none';
+        document.getElementById('bronKnop').classList.toggle('aan', bronAan);
+        document.querySelectorAll('.toolbar button:not(#bronKnop), .toolbar select').forEach(function (b) { b.disabled = bronAan; });
+    };
+    bron.addEventListener('input', function () { gewijzigd = true; });
+
+    // Ctrl+S = opslaan en verder bewerken
+    document.addEventListener('keydown', function (e) {
+        if ((e.ctrlKey || e.metaKey) && e.key.toLowerCase() === 's') {
+            e.preventDefault();
+            var verder = form.querySelector('[name=verder]');
+            if (verder) verder.click(); else form.requestSubmit();
+        }
+    });
+
+    form.addEventListener('submit', function () {
+        ed.querySelectorAll('img.gekozen').forEach(function (i) { i.classList.remove('gekozen'); });
+        document.getElementById('inhoud').value = bronAan ? bron.value : ed.innerHTML;
+        gewijzigd = false;
+        if (typeof showLoader === 'function') showLoader();
+    });
+})();
+</script>
+{% endblock %}
diff --git a/templates/handleidingen.html b/templates/handleidingen.html
new file mode 100644
index 0000000..0dfe4c7
--- /dev/null
+++ b/templates/handleidingen.html
@@ -0,0 +1,52 @@
+{% extends "base.html" %}
+
+{% block title %}Handleidingen{% endblock %}
+{% block page_title %}Handleidingen{% endblock %}
+
+{% block extra_css %}
+<style>
+    .hl-lijst { display: grid; grid-template-columns: repeat(auto-fill, minmax(280px, 1fr)); gap: 12px; margin-bottom: 22px; }
+    .hl-kaart { display: block; border: 1px solid var(--border); border-radius: var(--radius); padding: 14px 16px;
+                text-decoration: none; color: inherit; background: var(--surface); transition: border-color .12s, box-shadow .12s; }
+    .hl-kaart:hover { border-color: var(--primary-color); box-shadow: var(--shadow); }
+    .hl-kaart h3 { margin: 0 0 6px; font-size: 1rem; color: var(--primary-color); }
+    .hl-kaart p { margin: 0 0 8px; color: var(--text-muted); font-size: .9rem; }
+    .hl-kaart .meta { font-size: .78rem; color: var(--text-muted); }
+    .hl-cat { font-size: .8rem; text-transform: uppercase; letter-spacing: .05em; color: var(--text-muted); margin: 6px 0 10px; font-weight: 700; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>📘 Handleidingen</h2>
+        {% if is_admin %}
+        <a class="btn btn-sm btn-success" href="{{ url_for('handleidingen.nieuw') }}">➕ Nieuwe handleiding</a>
+        {% endif %}
+    </div>
+
+    <form method="GET" class="search-bar">
+        <input type="search" name="q" value="{{ q }}" placeholder="Zoek in de handleidingen…">
+        <button type="submit">🔍 Zoeken</button>
+        {% if q %}<a class="btn btn-light" href="{{ url_for('handleidingen.overzicht') }}">✕ Wissen</a>{% endif %}
+    </form>
+
+    {% for cat, items in per_cat.items() %}
+        <div class="hl-cat">{{ cat }}</div>
+        <div class="hl-lijst">
+            {% for h in items %}
+            <a class="hl-kaart" href="{{ url_for('handleidingen.bekijk', slug=h.Slug) }}">
+                <h3>{{ h.Titel }}</h3>
+                {% if h.Samenvatting %}<p>{{ h.Samenvatting }}</p>{% endif %}
+                <div class="meta">
+                    {% if h.Zichtbaar == 'admins' %}<span class="badge badge-warning">🔒 enkel admins</span> {% endif %}
+                    Bijgewerkt {{ h.Gewijzigd_op.strftime('%d-%m-%Y') }}{% if h.Gewijzigd_door %} door {{ h.Gewijzigd_door }}{% endif %}
+                </div>
+            </a>
+            {% endfor %}
+        </div>
+    {% else %}
+        <p class="muted">{% if q %}Geen handleidingen gevonden voor "{{ q }}".{% else %}Er zijn nog geen handleidingen.{% endif %}</p>
+    {% endfor %}
+</div>
+{% endblock %}
diff --git a/templates/handtekeningen.html b/templates/handtekeningen.html
new file mode 100644
index 0000000..102b9e2
--- /dev/null
+++ b/templates/handtekeningen.html
@@ -0,0 +1,506 @@
+{% extends "base.html" %}
+
+{% block title %}Handtekeningen{% endblock %}
+{% block page_title %}Handtekeningen{% endblock %}
+{% block main_class %}wide{% endblock %}
+{% block loader_text %}Bezig met Google...{% endblock %}
+
+{% block extra_css %}
+<style>
+    [hidden] { display: none !important; }
+    .ht-raster { display: grid; grid-template-columns: minmax(0, 1.25fr) minmax(0, 1fr); gap: 18px; align-items: start; }
+    @media (max-width: 1000px) { .ht-raster { grid-template-columns: 1fr; } }
+    .werkbalk { display: flex; flex-wrap: wrap; gap: 4px; align-items: center; padding: 6px; border: 1px solid var(--border);
+                border-bottom: 0; border-radius: var(--radius) var(--radius) 0 0; background: var(--surface-muted); }
+    .werkbalk button, .werkbalk select, .werkbalk label.kleur { width: auto; margin: 0; padding: 4px 9px; font-size: 13px; min-width: 30px;
+                background: var(--surface, #fff); color: inherit; border: 1px solid var(--border); border-radius: 6px; cursor: pointer; font-weight: 600; }
+    .werkbalk button:hover { border-color: var(--primary-color); }
+    .werkbalk button.aan { background: var(--primary-color); color: #fff; border-color: var(--primary-color); }
+    .werkbalk .scheiding { width: 1px; align-self: stretch; background: var(--border); margin: 0 4px; }
+    .werkbalk label.kleur { display: inline-flex; align-items: center; gap: 4px; }
+    .werkbalk input[type=color] { width: 22px; height: 18px; padding: 0; border: 0; background: none; }
+    .werkbalk .rechts { margin-left: auto; display: flex; gap: 4px; }
+    #editor, #broncode { min-height: 260px; border: 1px solid var(--border); border-radius: 0 0 var(--radius) var(--radius);
+                         padding: 14px; background: #fff; color: #111; overflow: auto; }
+    #editor:focus, #broncode:focus { outline: 2px solid var(--primary-light); border-color: var(--primary-color); }
+    #broncode { width: 100%; font-family: ui-monospace, Consolas, monospace; font-size: 12.5px; line-height: 1.45; resize: vertical; margin: 0; }
+    .tekens { font-size: 12px; color: var(--text-muted); text-align: right; margin-top: 4px; }
+    .tekens.te-lang { color: #b91c1c; font-weight: 700; }
+    .voorbeeld-kader { border: 1px solid var(--border); border-radius: var(--radius); background: #fff; color: #111; }
+    .voorbeeld-kop { display: flex; flex-wrap: wrap; gap: 8px; align-items: center; justify-content: space-between;
+                     padding: 8px 12px; border-bottom: 1px solid var(--border); background: var(--surface-muted); border-radius: var(--radius) var(--radius) 0 0; }
+    .voorbeeld-kop select { width: auto; max-width: 260px; margin: 0; }
+    .mail-nep { padding: 16px; font-family: Arial, Helvetica, sans-serif; font-size: 13px; }
+    .mail-nep .tekst { color: #6b7280; margin-bottom: 14px; }
+    .mail-nep .streep { color: #9ca3af; }
+    .velden { display: flex; flex-wrap: wrap; gap: 6px; margin: 10px 0 0; }
+    .velden button { width: auto; margin: 0; padding: 3px 9px; font-size: 12px; border-radius: 999px; font-weight: 600;
+                     background: var(--primary-light); color: var(--primary-color); border: 1px solid transparent; cursor: pointer; }
+    .velden button:hover { border-color: var(--primary-color); }
+    .instel { display: grid; grid-template-columns: repeat(auto-fit, minmax(260px, 1fr)); gap: 16px; margin-top: 18px; }
+    .instel .field { margin: 0; }
+    .logo-rij { display: flex; gap: 12px; align-items: center; flex-wrap: wrap; }
+    .logo-rij img { max-height: 60px; max-width: 180px; border: 1px solid var(--border); border-radius: 6px; padding: 4px; background: #fff; }
+    .ou-kader { border: 1px solid var(--border); border-radius: var(--radius); max-height: 230px; overflow: auto; padding: 6px 10px; background: var(--surface, #fff); }
+    .ou-kader label { display: flex; gap: 8px; align-items: center; margin: 0; padding: 3px 0; font-weight: 400; cursor: pointer; }
+    .ou-kader input { width: auto; margin: 0; }
+    .ou-kader label.gekozen { font-weight: 600; color: var(--primary-color); }
+    .gekozen-ous { display: flex; flex-wrap: wrap; gap: 6px; margin-top: 6px; }
+    .gekozen-ous span { padding: 2px 10px; border-radius: 999px; background: var(--primary-light); color: var(--primary-color); font-size: 12px; font-weight: 600; }
+    .nacht { display: flex; flex-wrap: wrap; gap: 14px; align-items: center; justify-content: space-between; padding: 12px 16px;
+             border: 1px solid var(--border); border-radius: var(--radius); margin-bottom: 14px; }
+    .nacht.aan { border-color: var(--primary-color); background: var(--primary-light); }
+    .nacht strong { display: block; }
+    .balk { display: flex; flex-wrap: wrap; gap: 10px; align-items: center; margin: 12px 0; }
+    .balk input[type=search] { flex: 0 1 300px; }
+    .balk .rechts { margin-left: auto; display: flex; gap: 8px; flex-wrap: wrap; }
+    td.inv input { margin: 0; padding: 5px 8px; font-size: 13px; min-width: 150px; }
+    td.inv input.gewijzigd { border-color: #d97706; background: #fffbeb; }
+    td.nowrap { white-space: nowrap; }
+    td.acties { white-space: nowrap; text-align: right; }
+    td.acties button { margin: 0 0 0 4px; }
+    .st { display: inline-grid; place-items: center; min-width: 24px; height: 24px; border-radius: 6px; font-weight: 700; padding: 0 6px; font-size: 12px; }
+    .st.ok { background: #dcfce7; color: #15803d; } .st.fout { background: #fee2e2; color: #b91c1c; } .st.nooit { color: var(--text-muted); }
+    .voortgang { height: 8px; border-radius: 999px; background: var(--surface-muted); overflow: hidden; margin: 8px 0; }
+    .voortgang div { height: 100%; width: 0; background: var(--primary-color); transition: width .4s; }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+</style>
+{% endblock %}
+
+{% block content %}
+{# ===================== Sjabloon ===================== #}
+<form class="card" method="POST" action="{{ url_for('handtekeningen.sjabloon') }}" enctype="multipart/form-data" id="sjabloonForm"
+      onsubmit="return voorBewaren()">
+    <div class="page-head" style="margin-bottom:6px">
+        <h2>✍️ Algemene handtekening</h2>
+        <div class="actions">
+            <button type="submit" class="btn-success btn-sm">💾 Bewaren</button>
+        </div>
+    </div>
+    <p class="field-hint" style="margin-top:0">Eén handtekening voor iedereen in de gekozen OU's. Klik op een veld hieronder om het in te
+        voegen; PIVOT vult het per persoon in. Zet een stuk tussen <code>{{ '{#functie}' }}</code> en <code>{{ '{/functie}' }}</code> (of
+        <code>telefoon</code>, ...) om het weg te laten als dat veld leeg is.</p>
+
+    <div class="ht-raster">
+        <div>
+            <div class="werkbalk" id="werkbalk">
+                <button type="button" data-cmd="bold" title="Vet"><b>B</b></button>
+                <button type="button" data-cmd="italic" title="Cursief"><i>I</i></button>
+                <button type="button" data-cmd="underline" title="Onderstrepen"><u>U</u></button>
+                <span class="scheiding"></span>
+                <select id="lettergrootte" title="Lettergrootte">
+                    <option value="">Grootte</option><option value="1">Klein</option><option value="2">Normaal</option>
+                    <option value="3">Groter</option><option value="4">Groot</option><option value="5">Zeer groot</option>
+                </select>
+                <select id="lettertype" title="Lettertype">
+                    <option value="">Lettertype</option><option>Arial</option><option>Verdana</option><option>Tahoma</option>
+                    <option>Georgia</option><option>Trebuchet MS</option><option>Calibri</option>
+                </select>
+                <label class="kleur" title="Tekstkleur">A <input type="color" id="tekstkleur" value="#1d6fa5"></label>
+                <span class="scheiding"></span>
+                <button type="button" data-cmd="justifyLeft" title="Links uitlijnen">⇤</button>
+                <button type="button" data-cmd="justifyCenter" title="Centreren">≡</button>
+                <button type="button" id="linkKnop" title="Link toevoegen">🔗</button>
+                <button type="button" data-cmd="unlink" title="Link weghalen">⛓️‍💥</button>
+                <button type="button" data-cmd="insertHorizontalRule" title="Lijn">―</button>
+                <button type="button" data-cmd="removeFormat" title="Opmaak wissen">⌫</button>
+                <span class="rechts">
+                    <button type="button" id="standaardKnop" title="Het standaardsjabloon van PIVOT terugzetten">↺ Standaard</button>
+                    <button type="button" id="htmlKnop" title="HTML-broncode bewerken">&lt;/&gt; HTML</button>
+                </span>
+            </div>
+            <div id="editor" contenteditable="true" spellcheck="false"></div>
+            <textarea id="broncode" name="sjabloon" hidden spellcheck="false">{{ inst.Sjabloon or standaard_sjabloon }}</textarea>
+            <div class="velden" id="velden">
+                {% for k, uitleg in velden %}<button type="button" data-veld="{{ k }}" title="{{ uitleg }}">{{ '{' ~ k ~ '}' }}</button>{% endfor %}
+            </div>
+        </div>
+
+        <div>
+            <div class="voorbeeld-kader">
+                <div class="voorbeeld-kop">
+                    <strong class="small">👁 Voorbeeld</strong>
+                    <select id="voorbeeldVoor" aria-label="Voorbeeld voor">
+                        <option value="">Fictieve persoon</option>
+                        {% for u in gebruikers %}<option value="{{ loop.index0 }}">{{ u.voornaam }} {{ u.achternaam }}</option>{% endfor %}
+                    </select>
+                </div>
+                <div class="mail-nep">
+                    <div class="tekst">Beste collega,<br><br>Zo ziet je e-mail eruit met de handtekening.<br><br>Met vriendelijke groeten,</div>
+                    <div class="streep">--</div>
+                    <div id="voorbeeld"></div>
+                </div>
+            </div>
+            <div class="tekens" id="tekens"></div>
+        </div>
+    </div>
+
+    <div class="instel">
+        <div class="field">
+            <label>Logo</label>
+            <div class="logo-rij">
+                {% if inst.heeft_logo and inst.Logo_sleutel %}
+                <img src="{{ url_for('handtekening_logo.logo', code=school.code, sleutel=inst.Logo_sleutel, ext='png' if inst.Logo_type == 'image/png' else ('jpg' if inst.Logo_type == 'image/jpeg' else 'gif')) }}" alt="Logo">
+                <label style="font-weight:400;display:flex;gap:6px;align-items:center;margin:0"><input type="checkbox" name="logo_wissen" value="1" style="width:auto;margin:0"> wissen</label>
+                {% endif %}
+                <input type="file" name="logo" accept="image/png,image/jpeg,image/gif" style="flex:1 1 200px">
+            </div>
+            <p class="field-hint">PNG, JPG of GIF, max. 512 kB. Of geef hieronder een eigen publieke link (bv. van de schoolwebsite).</p>
+            <input type="url" name="logo_url" id="logoUrl" value="{{ inst.Logo_url or '' }}" placeholder="https://... (laat leeg om het geüploade logo te gebruiken)">
+            <div style="display:flex;gap:8px;align-items:center;margin-top:8px">
+                <label for="logoBreedte" style="margin:0;font-weight:400">Breedte</label>
+                <input type="number" name="logo_breedte" id="logoBreedte" min="20" max="600" value="{{ inst.Logo_breedte or 120 }}" style="width:90px;margin:0"> <span class="muted small">pixels</span>
+            </div>
+        </div>
+        <div class="field">
+            <label for="publiekAdres">Publiek adres van PIVOT</label>
+            <input type="url" name="publiek_adres" id="publiekAdres" value="{{ inst.Publiek_adres or publiek_voorstel }}">
+            <p class="field-hint">Gmail haalt een geüpload logo op via <code>{{ (inst.Publiek_adres or publiek_voorstel) }}/handtekening-logo/...</code>.
+                Dat adres moet van buitenaf (internet) bereikbaar zijn; de IP-blokkering geldt niet voor het logo.
+                Is PIVOT enkel intern bereikbaar, gebruik dan een eigen link naar het logo.</p>
+            {% if inst.logo_link %}<p class="field-hint">Huidige logolink: <a href="{{ inst.logo_link }}" target="_blank" rel="noopener">{{ inst.logo_link }}</a></p>{% endif %}
+            <label style="margin-top:12px">Gegevens van de school</label>
+            <p class="field-hint" style="margin-top:0"><strong>{{ school_gegevens.schoolnaam }}</strong><br>{{ school_gegevens.schooladres or '— geen adres ingevuld —' }}<br>
+                Aan te passen via 🏫 Alle scholen beheren › Bewerken › Adres.</p>
+        </div>
+        <div class="field">
+            <label>OU's</label>
+            {% if fout_ou %}<div class="alert alert-danger" style="margin:0 0 8px">{{ fout_ou }}</div>{% endif %}
+            <input type="search" id="ouZoek" placeholder="Zoek een OU..." style="margin-bottom:6px">
+            <div class="ou-kader" id="ouKader">
+                {% for ou in ous %}
+                <label class="{{ 'gekozen' if ou in inst.ous }}"><input type="checkbox" name="ou" value="{{ ou }}" {{ 'checked' if ou in inst.ous }}> {{ ou }}</label>
+                {% endfor %}
+            </div>
+            <label style="font-weight:400;display:flex;gap:8px;align-items:center;margin-top:8px">
+                <input type="checkbox" name="met_sub" value="1" {{ 'checked' if inst.Met_sub_ous }} style="width:auto;margin:0"> Ook de onderliggende OU's
+            </label>
+            <div class="gekozen-ous" id="gekozenOus"></div>
+        </div>
+    </div>
+    {% if inst.Bijgewerkt %}<p class="muted small" style="margin:14px 0 0">Laatst bewaard op {{ inst.Bijgewerkt.strftime('%d-%m-%Y %H:%M') }}{% if inst.Door %} door {{ inst.Door }}{% endif %}.</p>{% endif %}
+</form>
+
+{# ===================== Gebruikers ===================== #}
+<div class="card">
+    <div class="page-head" style="margin-bottom:10px">
+        <h2>👥 Gebruikers <span class="muted small">({{ gebruikers|length }})</span></h2>
+        <div class="actions">
+            <a class="btn btn-light btn-sm" href="{{ url_for('handtekeningen.overzicht', vernieuw=1) }}" onclick="showLoader()">🔄 Opnieuw ophalen</a>
+        </div>
+    </div>
+
+    <div class="nacht {{ 'aan' if inst.Nachtelijk }}">
+        <div>
+            <strong>🌙 Elke nacht opnieuw toepassen</strong>
+            <span class="muted small">{% if inst.Nachtelijk %}Staat <b>aan</b>: elke nacht (tussen 3 en 6 uur) zet PIVOT de handtekening
+                opnieuw bij wie ze in Gmail zelf gewijzigd heeft, of bij wie de gegevens veranderd zijn.{% else %}Staat uit: de handtekening
+                wordt enkel gezet met de knoppen hieronder. Gebruikers kunnen ze in Gmail zelf nog aanpassen.{% endif %}
+                {% if inst.Nacht_resultaat %}<br>Laatste keer: {{ inst.Nacht_resultaat }}{% endif %}</span>
+        </div>
+        <form method="POST" action="{{ url_for('handtekeningen.nachtelijk') }}" style="margin:0">
+            <input type="hidden" name="aan" value="{{ '0' if inst.Nachtelijk else '1' }}">
+            <label class="switch" title="{{ 'Uitzetten' if inst.Nachtelijk else 'Aanzetten' }}">
+                <input type="checkbox" {{ 'checked' if inst.Nachtelijk }} onchange="this.form.submit()"><span class="slider"></span>
+            </label>
+        </form>
+    </div>
+
+    {% if not inst.ous %}
+        <p class="muted">Kies hierboven één of meer OU's en klik op 💾 Bewaren.</p>
+    {% elif fout_gebruikers %}
+        <div class="alert alert-danger">{{ fout_gebruikers }}</div>
+    {% elif not gebruikers %}
+        <p class="muted">Geen (actieve) gebruikers in de gekozen OU's.</p>
+    {% else %}
+        <p class="field-hint" style="margin-top:0">Functie en telefoon komen uit Google. Pas je ze hier aan, dan worden ze ook in Google
+            bewaard (en staan ze in het adresboek van de organisatie).</p>
+        <div class="balk">
+            <input type="search" id="zoek" placeholder="Zoek op naam, e-mail, functie of OU..." aria-label="Zoeken">
+            <span id="perPagina"></span>
+            <div class="rechts">
+                <button type="button" class="btn-sm btn-warning" id="alleBewaren" hidden>💾 Wijzigingen in Google bewaren (<span id="aantalGewijzigd">0</span>)</button>
+                <button type="button" class="btn-sm btn-light" id="geselecteerdToepassen" disabled>▶ Toepassen op geselecteerden (<span id="aantalGekozen">0</span>)</button>
+                <button type="button" class="btn-sm btn-success" id="iedereenToepassen">▶ Toepassen op iedereen</button>
+            </div>
+        </div>
+
+        <div id="voortgangKaart" {{ '' if status.bezig or status.resultaat or status.fout else 'hidden' }} style="margin-bottom:12px">
+            <div class="voortgang"><div id="balk"></div></div>
+            <div class="small"><b id="tVoortgang">{{ status.voortgang }}</b> / <b id="tTotaal">{{ status.totaal }}</b> ·
+                ✅ <b id="tGelukt">{{ status.gelukt }}</b> · ⏭️ <b id="tOngewijzigd">{{ status.ongewijzigd }}</b> · ⚠️ <b id="tFout">{{ status.fouten }}</b></div>
+            <div class="alert alert-success" id="resultaat" style="margin:8px 0 0" {{ '' if status.resultaat and not status.bezig else 'hidden' }}>{{ status.resultaat or '' }}</div>
+            <div class="alert alert-danger" id="foutmelding" style="margin:8px 0 0" {{ '' if status.fout else 'hidden' }}>{{ status.fout or '' }}</div>
+            <ul class="muted small" id="foutvoorbeelden"></ul>
+        </div>
+
+        <div class="table-wrap">
+            <table>
+                <thead>
+                    <tr>
+                        <th style="width:28px"><input type="checkbox" id="allesKiezen" title="Alles (op deze pagina) selecteren" style="width:auto;margin:0"></th>
+                        <th>Naam</th><th>E-mail</th><th>OU</th><th>Functie</th><th>Telefoon</th>
+                        <th title="Laatste keer toegepast">Gmail</th><th></th>
+                    </tr>
+                </thead>
+                <tbody id="body">
+                {% for u in gebruikers %}
+                    {% set l = logboek.get(u.email) %}
+                    <tr data-i="{{ loop.index0 }}" data-email="{{ u.email }}">
+                        <td><input type="checkbox" class="kies" style="width:auto;margin:0"></td>
+                        <td class="nowrap"><strong>{{ u.achternaam }}</strong> {{ u.voornaam }}</td>
+                        <td class="small">{{ u.email }}</td>
+                        <td class="small muted">{{ u.ou }}</td>
+                        <td class="inv"><input type="text" class="functie" value="{{ u.functie }}" data-oud="{{ u.functie }}" placeholder="Functie" maxlength="100"></td>
+                        <td class="inv"><input type="tel" class="telefoon" value="{{ u.telefoon }}" data-oud="{{ u.telefoon }}" placeholder="Telefoon" maxlength="40" style="min-width:130px"></td>
+                        <td class="nowrap status">
+                            {% if not l %}<span class="st nooit" title="Nog niet toegepast">—</span>
+                            {% elif l.Ok %}<span class="st ok" title="Toegepast op {{ l.Toegepast.strftime('%d-%m-%Y %H:%M') }}{{ ' door ' ~ l.Door if l.Door }}">✓</span>
+                            {% else %}<span class="st fout" title="{{ l.Melding }}">✕</span>{% endif %}
+                        </td>
+                        <td class="acties">
+                            <button type="button" class="btn-sm btn-warning bewaar" hidden title="Functie en telefoon in Google bewaren">💾</button>
+                            <button type="button" class="btn-sm btn-light toon" title="Voorbeeld van deze persoon">👁</button>
+                            <button type="button" class="btn-sm btn-light pasToe" title="Handtekening nu instellen in Gmail">▶</button>
+                        </td>
+                    </tr>
+                {% endfor %}
+                </tbody>
+            </table>
+        </div>
+        <div class="tabel-voet">
+            <div class="muted small" id="teller"></div>
+            <nav class="paginering" id="paginering" aria-label="Pagina's"></nav>
+        </div>
+    {% endif %}
+</div>
+
+<p class="field-hint">Eenmalig nodig in de Google Admin-console (Beveiliging › API-beheer › Domeinbrede delegatie, bij het serviceaccount
+    van PIVOT): <code>https://www.googleapis.com/auth/gmail.settings.basic</code> (handtekening zetten) en
+    <code>https://www.googleapis.com/auth/admin.directory.user</code> (functie en telefoon).</p>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    const GEBRUIKERS = {{ gebruikers|tojson }};
+    const MAX_TEKENS = {{ max_tekens }};
+    const STANDAARD = {{ standaard_sjabloon|tojson }};
+    const URL_VOORBEELD = {{ url_for('handtekeningen.voorbeeld')|tojson }};
+    const URL_GEBRUIKER = {{ url_for('handtekeningen.gebruiker')|tojson }};
+    const URL_TOEPASSEN = {{ url_for('handtekeningen.toepassen')|tojson }};
+    const URL_STATUS = {{ url_for('handtekeningen.status')|tojson }};
+    const FICTIEF = { voornaam: 'An', achternaam: 'Voorbeeld', email: 'an.voorbeeld@school.be', functie: 'Leerkracht wiskunde', telefoon: '03 123 45 67' };
+    const post = (url, data) => fetch(url, { method: 'POST', credentials: 'same-origin',
+        headers: { 'Content-Type': 'application/json' }, body: JSON.stringify(data) }).then(r => r.json());
+
+    // ---------------- Editor (opmaak ↔ HTML) ----------------
+    const editor = document.getElementById('editor'), bron = document.getElementById('broncode');
+    const htmlKnop = document.getElementById('htmlKnop');
+    let htmlModus = false, kiesBereik = null;
+    editor.innerHTML = bron.value;
+    function sjabloon() { return htmlModus ? bron.value : editor.innerHTML; }
+    function zetModus(html) {
+        if (html === htmlModus) return;
+        if (html) { bron.value = editor.innerHTML; } else { editor.innerHTML = bron.value; }
+        htmlModus = html;
+        bron.hidden = !html; editor.hidden = html;
+        htmlKnop.classList.toggle('aan', html);
+        document.querySelectorAll('#werkbalk [data-cmd], #lettergrootte, #lettertype, #tekstkleur, #linkKnop')
+            .forEach(x => x.disabled = html);
+        (html ? bron : editor).focus();
+    }
+    htmlKnop.onclick = () => zetModus(!htmlModus);
+    editor.addEventListener('keyup', bewaarSelectie); editor.addEventListener('mouseup', bewaarSelectie);
+    function bewaarSelectie() { const s = window.getSelection(); if (s.rangeCount && editor.contains(s.anchorNode)) kiesBereik = s.getRangeAt(0); }
+    function herstelSelectie() { editor.focus(); if (kiesBereik) { const s = window.getSelection(); s.removeAllRanges(); s.addRange(kiesBereik); } }
+    function opdracht(cmd, waarde) { herstelSelectie(); document.execCommand('styleWithCSS', false, true); document.execCommand(cmd, false, waarde ?? null); bewaarSelectie(); vernieuw(); }
+    document.querySelectorAll('#werkbalk [data-cmd]').forEach(b => b.addEventListener('mousedown', e => { e.preventDefault(); opdracht(b.dataset.cmd); }));
+    document.getElementById('lettergrootte').onchange = e => { if (e.target.value) opdracht('fontSize', e.target.value); e.target.value = ''; };
+    document.getElementById('lettertype').onchange = e => { if (e.target.value) opdracht('fontName', e.target.value); e.target.value = ''; };
+    document.getElementById('tekstkleur').oninput = e => opdracht('foreColor', e.target.value);
+    document.getElementById('linkKnop').onclick = () => { const url = prompt('Link (https://... of mailto:...)', 'https://'); if (url) opdracht('createLink', url); };
+    document.getElementById('standaardKnop').onclick = () => {
+        if (!confirm('Het standaardsjabloon van PIVOT terugzetten? Je huidige handtekening in de editor gaat verloren (pas na 💾 Bewaren definitief).')) return;
+        if (htmlModus) bron.value = STANDAARD; else editor.innerHTML = STANDAARD;
+        vernieuw();
+    };
+    // Veld invoegen op de cursor
+    document.querySelectorAll('#velden [data-veld]').forEach(b => b.addEventListener('mousedown', e => {
+        e.preventDefault();
+        const tekst = '{' + b.dataset.veld + '}';
+        if (htmlModus) {
+            const a = bron.selectionStart, z = bron.selectionEnd;
+            bron.value = bron.value.slice(0, a) + tekst + bron.value.slice(z);
+            bron.selectionStart = bron.selectionEnd = a + tekst.length; bron.focus();
+        } else { opdracht('insertText', tekst); }
+        vernieuw();
+    }));
+    function voorBewaren() {
+        bron.value = sjabloon();
+        if (!bron.value.trim()) { alert('De handtekening is leeg.'); return false; }
+        showLoader('Bewaren...');
+        return true;
+    }
+
+    // ---------------- Live voorbeeld ----------------
+    const voorbeeldVoor = document.getElementById('voorbeeldVoor');
+    let timer = null;
+    function persoon(i) {
+        if (i === '' || i == null) return FICTIEF;
+        const u = Object.assign({}, GEBRUIKERS[+i]);
+        const tr = document.querySelector(`#body tr[data-i="${i}"]`);
+        if (tr) { u.functie = tr.querySelector('.functie').value; u.telefoon = tr.querySelector('.telefoon').value; }
+        return u;
+    }
+    function vernieuw() {
+        clearTimeout(timer);
+        timer = setTimeout(() => post(URL_VOORBEELD, {
+            sjabloon: sjabloon(), gebruiker: persoon(voorbeeldVoor.value),
+            logo_url: document.getElementById('logoUrl').value, logo_breedte: document.getElementById('logoBreedte').value,
+            publiek_adres: document.getElementById('publiekAdres').value
+        }).then(r => {
+            document.getElementById('voorbeeld').innerHTML = r.html || '';
+            const t = document.getElementById('tekens');
+            t.textContent = `${r.tekens} van max. ${MAX_TEKENS} tekens (voor deze persoon)`;
+            t.classList.toggle('te-lang', r.tekens > MAX_TEKENS);
+        }).catch(() => {}), 250);
+    }
+    editor.addEventListener('input', vernieuw); bron.addEventListener('input', vernieuw);
+    voorbeeldVoor.addEventListener('change', vernieuw);
+    ['logoUrl', 'logoBreedte', 'publiekAdres'].forEach(id => document.getElementById(id).addEventListener('input', vernieuw));
+    vernieuw();
+
+    // ---------------- OU's ----------------
+    const ouKader = document.getElementById('ouKader');
+    function toonGekozen() {
+        const gekozen = Array.from(ouKader.querySelectorAll('input:checked')).map(x => x.value);
+        ouKader.querySelectorAll('label').forEach(l => l.classList.toggle('gekozen', l.querySelector('input').checked));
+        document.getElementById('gekozenOus').innerHTML = gekozen.map(o => `<span>${o.replace(/</g, '&lt;')}</span>`).join('')
+            || '<span class="muted small" style="background:none;color:inherit;font-weight:400">Nog geen OU gekozen</span>';
+    }
+    ouKader.addEventListener('change', toonGekozen);
+    document.getElementById('ouZoek').addEventListener('input', e => {
+        const z = e.target.value.trim().toLowerCase();
+        ouKader.querySelectorAll('label').forEach(l => l.style.display = !z || l.textContent.toLowerCase().includes(z) ? '' : 'none');
+    });
+    toonGekozen();
+
+    // ---------------- Gebruikers ----------------
+    (function () {
+        const body = document.getElementById('body');
+        if (!body) return;
+        const rijen = Array.from(body.rows);
+        let PER_PAGINA = perPagina('handtekeningen', 25), pagina = 1, zoek = '';
+        const zichtbaar = () => rijen.filter(tr => !zoek || (tr.textContent + ' ' + tr.querySelector('.functie').value).toLowerCase().includes(zoek));
+        function toon() {
+            const lijst = zichtbaar(), grootte = PER_PAGINA || Infinity, paginas = Math.max(1, Math.ceil(lijst.length / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER_PAGINA ? (pagina - 1) * PER_PAGINA : 0, tot = van + grootte;
+            rijen.forEach(tr => tr.style.display = 'none');
+            lijst.forEach((tr, i) => tr.style.display = i >= van && i < tot ? '' : 'none');
+            document.getElementById('teller').textContent = lijst.length ? `${van + 1}–${Math.min(tot, lijst.length)} van ${lijst.length}` : 'Niets gevonden';
+            const nav = document.getElementById('paginering'); nav.innerHTML = '';
+            if (paginas > 1) {
+                const knop = (label, p, actief) => { const b = document.createElement('button'); b.type = 'button'; b.textContent = label;
+                    b.className = 'btn-sm ' + (actief ? 'btn-secondary' : 'btn-light'); b.onclick = () => { pagina = p; toon(); }; nav.appendChild(b); };
+                if (pagina > 1) { knop('«', 1); knop('‹', pagina - 1); }
+                for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+                if (pagina < paginas) { knop('›', pagina + 1); knop('»', paginas); }
+            }
+            document.getElementById('allesKiezen').checked = false;
+        }
+        document.getElementById('zoek').addEventListener('input', e => { zoek = e.target.value.trim().toLowerCase(); pagina = 1; toon(); });
+        perPaginaKiezer(document.getElementById('perPagina'), 'handtekeningen', n => { PER_PAGINA = n; pagina = 1; toon(); }, 25);
+
+        // Selectie
+        const gekozen = () => rijen.filter(tr => tr.querySelector('.kies').checked);
+        function telKeuze() {
+            const n = gekozen().length;
+            document.getElementById('aantalGekozen').textContent = n;
+            document.getElementById('geselecteerdToepassen').disabled = !n;
+        }
+        body.addEventListener('change', e => { if (e.target.classList.contains('kies')) telKeuze(); });
+        document.getElementById('allesKiezen').addEventListener('change', e => {
+            rijen.filter(tr => tr.style.display !== 'none').forEach(tr => tr.querySelector('.kies').checked = e.target.checked);
+            telKeuze();
+        });
+
+        // Functie / telefoon wijzigen
+        const gewijzigd = tr => ['functie', 'telefoon'].some(k => { const i = tr.querySelector('.' + k); return i.value.trim() !== i.dataset.oud; });
+        function telWijzigingen() {
+            const n = rijen.filter(gewijzigd).length;
+            document.getElementById('aantalGewijzigd').textContent = n;
+            document.getElementById('alleBewaren').hidden = !n;
+        }
+        body.addEventListener('input', e => {
+            const tr = e.target.closest('tr');
+            if (!tr || !e.target.matches('.functie, .telefoon')) return;
+            e.target.classList.toggle('gewijzigd', e.target.value.trim() !== e.target.dataset.oud);
+            tr.querySelector('.bewaar').hidden = !gewijzigd(tr);
+            telWijzigingen();
+            if (voorbeeldVoor.value === tr.dataset.i) vernieuw();
+        });
+        function bewaarRij(tr) {
+            const f = tr.querySelector('.functie'), t = tr.querySelector('.telefoon'), knop = tr.querySelector('.bewaar');
+            knop.disabled = true; knop.textContent = '⏳';
+            return post(URL_GEBRUIKER, { email: tr.dataset.email, functie: f.value.trim(), telefoon: t.value.trim() }).then(r => {
+                knop.disabled = false; knop.textContent = '💾';
+                if (!r.ok) { alert(r.fout || 'Bewaren in Google mislukt.'); return false; }
+                [f, t].forEach(i => { i.value = i.value.trim(); i.dataset.oud = i.value; i.classList.remove('gewijzigd'); });
+                GEBRUIKERS[+tr.dataset.i].functie = f.value; GEBRUIKERS[+tr.dataset.i].telefoon = t.value;
+                knop.hidden = true; telWijzigingen();
+                return true;
+            });
+        }
+        body.addEventListener('keydown', e => { if (e.key === 'Enter' && e.target.matches('.functie, .telefoon')) { e.preventDefault(); const tr = e.target.closest('tr'); if (gewijzigd(tr)) bewaarRij(tr); } });
+        document.getElementById('alleBewaren').onclick = async () => {
+            for (const tr of rijen.filter(gewijzigd)) { if (!await bewaarRij(tr)) break; }
+        };
+        body.addEventListener('click', e => {
+            const tr = e.target.closest('tr');
+            if (!tr) return;
+            if (e.target.closest('.bewaar')) bewaarRij(tr);
+            if (e.target.closest('.toon')) { voorbeeldVoor.value = tr.dataset.i; vernieuw(); document.getElementById('sjabloonForm').scrollIntoView({ behavior: 'smooth' }); }
+            if (e.target.closest('.pasToe')) start([tr.dataset.email], tr);
+        });
+
+        // Toepassen
+        function start(emails, tr) {
+            const niet = rijen.filter(gewijzigd);
+            if (niet.length && !confirm(`${niet.length} gebruiker(s) hebben nog niet-bewaarde wijzigingen aan functie/telefoon. Die worden NIET gebruikt. Toch doorgaan?`)) return;
+            const wie = emails ? (emails.length === 1 ? emails[0] : `${emails.length} gebruikers`) : `alle ${rijen.length} gebruikers`;
+            if (!confirm(`De handtekening in Gmail instellen voor ${wie}? Een bestaande handtekening wordt vervangen.`)) return;
+            post(URL_TOEPASSEN, emails ? { emails } : { alle: true }).then(r => {
+                if (!r.ok) { alert(r.fout || 'Starten mislukt.'); return; }
+                document.getElementById('voortgangKaart').hidden = false;
+                kijk();
+            });
+        }
+        document.getElementById('geselecteerdToepassen').onclick = () => start(gekozen().map(tr => tr.dataset.email));
+        document.getElementById('iedereenToepassen').onclick = () => start(null);
+
+        const zet = (id, w) => document.getElementById(id).textContent = w;
+        function kijk() {
+            fetch(URL_STATUS, { credentials: 'same-origin' }).then(r => r.json()).then(s => {
+                zet('tVoortgang', s.voortgang); zet('tTotaal', s.totaal); zet('tGelukt', s.gelukt); zet('tOngewijzigd', s.ongewijzigd); zet('tFout', s.fouten);
+                document.getElementById('balk').style.width = (s.totaal ? Math.round(100 * s.voortgang / s.totaal) : (s.bezig ? 3 : 100)) + '%';
+                const res = document.getElementById('resultaat'), fout = document.getElementById('foutmelding');
+                res.hidden = !(s.resultaat && !s.bezig); res.textContent = s.resultaat || '';
+                fout.hidden = !s.fout; fout.textContent = s.fout || '';
+                document.getElementById('foutvoorbeelden').innerHTML = (s.foutvoorbeelden || []).map(f => `<li>${f.replace(/</g, '&lt;')}</li>`).join('');
+                ['iedereenToepassen', 'geselecteerdToepassen'].forEach(id => document.getElementById(id).disabled = s.bezig || (id === 'geselecteerdToepassen' && !gekozen().length));
+                if (s.bezig) { setTimeout(kijk, 1500); return; }
+                const log = s.logboek || {};
+                rijen.forEach(tr => {
+                    const l = log[tr.dataset.email]; if (!l) return;
+                    tr.querySelector('.status').innerHTML = l.ok ? `<span class="st ok" title="Toegepast op ${l.op}">✓</span>`
+                        : `<span class="st fout" title="${l.melding.replace(/"/g, '&quot;')}">✕</span>`;
+                });
+            }).catch(() => setTimeout(kijk, 4000));
+        }
+        {% if status.bezig %}kijk();{% endif %}
+        toon(); telKeuze();
+    })();
+</script>
+{% endblock %}
diff --git a/templates/herstellingen.html b/templates/herstellingen.html
new file mode 100644
index 0000000..20fd324
--- /dev/null
+++ b/templates/herstellingen.html
@@ -0,0 +1,235 @@
+{% extends "base.html" %}
+
+{% block title %}Herstellingen{% endblock %}
+{% block page_title %}Herstellingen &amp; Signpost{% endblock %}
+{% block loader_text %}Signpost data ophalen... even geduld.{% endblock %}
+
+{% block content %}
+<div class="page-head">
+    <div class="tabs">
+        <button class="tab-link {{ 'active' if active_tab != 'signpost-tab' else '' }}" onclick="openTab(event, 'herstellingen-tab')">🛠️ Herstellingen</button>
+        <button class="tab-link {{ 'active' if active_tab == 'signpost-tab' else '' }}" onclick="openTab(event, 'signpost-tab')">🚩 Signpost</button>
+    </div>
+    <div class="actions">
+        {% if active_tab == 'signpost-tab' %}
+            <button type="button" class="add-btn" id="mainAddBtn" onclick="openSignpostModal()">🚩 Signpost-herstelling toevoegen</button>
+        {% else %}
+            <button type="button" class="add-btn" id="mainAddBtn" onclick="openAddModal()">➕ Herstelling toevoegen</button>
+        {% endif %}
+    </div>
+</div>
+
+<section id="herstellingen-tab" class="tab-content card {{ 'active' if active_tab != 'signpost-tab' else '' }}" style="display: {{ 'none' if active_tab == 'signpost-tab' else 'block' }};">
+    <h2>🛠️ Overzicht herstellingen</h2>
+    <form class="search-bar" method="POST" action="{{ url_for('repairs.herstellingen') }}">
+        <input type="text" name="query" placeholder="Zoek op serienummer, incidentnr. of omschrijving..." value="{{ query or '' }}">
+        <button type="submit">🔍 Zoeken</button>
+    </form>
+
+    {% if results %}
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr>
+                    <th>Incident nr</th>
+                    <th>Serienummer</th>
+                    <th>Soort herstelling</th>
+                    <th>Status</th>
+                    <th>Datum</th>
+                    <th class="actions">Acties</th>
+                </tr>
+            </thead>
+            <tbody>
+                {% for row in results %}
+                <tr>
+                    <td><strong>{{ row['Incident_nr'] or '' }}</strong></td>
+                    <td>{{ row['KAMXM_nummer'] }}</td>
+                    <td>{{ row['Soort_herstelling'] or '' }}</td>
+                    <td>
+                        {% if row['Status'] == 'In afwachting' %}<span class="badge badge-warning">⏳ In afwachting</span>
+                        {% elif row['Status'] == 'In herstelling' %}<span class="badge badge-info">🔧 In herstelling</span>
+                        {% elif row['Status'] == 'Voltooid' %}<span class="badge badge-success">✅ Voltooid</span>
+                        {% else %}<span class="badge">{{ row['Status'] }}</span>
+                        {% endif %}
+                    </td>
+                    <td class="nowrap">{{ row['Datum'] or '' }}</td>
+                    <td class="actions">
+                        <button type="button" class="btn-sm" onclick="openStatusModal('{{ row['KAMXM_nummer'] }}', '{{ row['Incident_nr'] or '' }}')">Status</button>
+                        <button type="button" class="btn-bewerk btn-sm"
+                            data-kamxm="{{ row['KAMXM_nummer'] }}"
+                            data-incident="{{ row['Incident_nr'] or '' }}"
+                            data-soort="{{ row['Soort_herstelling'] or '' }}"
+                            data-datum="{{ row['Datum'] or '' }}"
+                            onclick="openEditModal(this)">✏️ Bewerk</button>
+                    </td>
+                </tr>
+                {% endfor %}
+            </tbody>
+        </table>
+    </div>
+    {% elif query %}
+        <p class="muted">Geen herstellingen gevonden voor "{{ query }}".</p>
+    {% endif %}
+</section>
+
+<section id="signpost-tab" class="tab-content card {{ 'active' if active_tab == 'signpost-tab' else '' }}" style="display: {{ 'block' if active_tab == 'signpost-tab' else 'none' }};">
+    <h2>🚩 Signpost schademeldingen</h2>
+    <form id="signpostSearchForm" class="search-bar" method="POST" action="{{ url_for('repairs.signpost_search') }}">
+        <input type="text" name="serial_number" placeholder="Zoek op serienummer..." value="{{ searched_serial or '' }}">
+        <button type="submit">🔍 Zoek in Signpost</button>
+    </form>
+
+    {% if signpost_results %}
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr>
+                    <th>Referentie</th>
+                    <th>Status</th>
+                    <th>Omschrijving</th>
+                    <th>Datum</th>
+                    <th class="text-right">Prijs</th>
+                </tr>
+            </thead>
+            <tbody>
+                {% for case in signpost_results %}
+                <tr>
+                    <td><strong>{{ case.get('ourReference', 'N/A') }}</strong></td>
+                    <td><span class="badge">{{ case.get('status', 'Onbekend') }}</span></td>
+                    <td>{{ case.get('description', 'Geen omschrijving') }}</td>
+                    <td class="nowrap">{{ case.get('createdAt', '')[:10] }}</td>
+                    <td class="text-right nowrap">€ {{ case.get('totalPrice', '0.00') }}</td>
+                </tr>
+                {% endfor %}
+            </tbody>
+        </table>
+    </div>
+    {% endif %}
+</section>
+{% endblock %}
+
+{% block modals %}
+<div id="addModal" class="modal">
+    <div class="modal-content">
+        <span class="close" onclick="closeModal('addModal')">&times;</span>
+        <h3>Nieuwe herstelling toevoegen</h3>
+        <form method="POST" action="{{ url_for('repairs.add_herstelling') }}">
+            <div class="field"><label>Incident nr</label><input type="text" name="incident_nr" placeholder="Optioneel"></div>
+            <div class="field"><label>Serienummer</label><input type="text" name="kamxm_nummer" required placeholder="Bijv. 12345"></div>
+            <div class="field"><label>Soort herstelling</label><input type="text" name="soort_herstelling" required placeholder="Omschrijving..."></div>
+            <button type="submit" class="btn-block btn-success">➕ Toevoegen</button>
+        </form>
+    </div>
+</div>
+
+<div id="editModal" class="modal">
+    <div class="modal-content">
+        <span class="close" onclick="closeModal('editModal')">&times;</span>
+        <h3>Herstelling bewerken</h3>
+        <form method="POST" action="{{ url_for('repairs.bewerk_herstelling') }}">
+            <input type="hidden" name="kamxm_nummer_original" id="edit_kamxm_orig">
+            <div class="field"><label>Incident nr</label><input type="text" name="incident_nr" id="edit_incident"></div>
+            <div class="field"><label>Serienummer</label><input type="text" name="kamxm_nummer" id="edit_kamxm"></div>
+            <div class="field"><label>Soort herstelling</label><input type="text" name="soort_herstelling" id="edit_soort"></div>
+            <div class="field"><label>Datum</label><input type="date" name="datum" id="edit_datum"></div>
+            <button type="submit" class="btn-block">💾 Opslaan</button>
+        </form>
+    </div>
+</div>
+
+<div id="statusModal" class="modal">
+    <div class="modal-content">
+        <span class="close" onclick="closeModal('statusModal')">&times;</span>
+        <h3>Wijzig status: <span id="display_kamxm"></span></h3>
+        <form id="statusForm" method="POST" action="{{ url_for('repairs.wijzig_status_herstelling') }}">
+            <input type="hidden" name="kamxm_nummer" id="input_status_kamxm">
+            <input type="hidden" name="incident_nr" id="input_status_incident">
+            <input type="hidden" name="new_status" id="input_status_value">
+            <button type="button" class="status-button status-warning" id="btn-wacht" onclick="submitStatus('In afwachting')">⏳ In afwachting</button>
+            <button type="button" class="status-button status-info" id="btn-bezig" onclick="submitStatus('In herstelling')">🔧 In herstelling</button>
+            <button type="button" class="status-button status-success" id="btn-klaar" onclick="submitStatus('Voltooid')">✅ Voltooid</button>
+        </form>
+    </div>
+</div>
+
+<div id="signpostModal" class="modal">
+    <div class="modal-content">
+        <span class="close" onclick="closeModal('signpostModal')">&times;</span>
+        <h3>🚩 Signpost-schade melden</h3>
+        <form id="signpostSubmitForm" action="#" method="POST">
+            <div class="field"><label>Serienummer</label><input type="text" name="serial" id="sp_serial_input" required placeholder="Voer serienummer in"></div>
+            <div class="field"><label>Omschrijving</label><textarea name="omschrijving" placeholder="Wat is er defect?"></textarea></div>
+
+            <div class="switch-row"><span>💧 Waterschade</span><label class="switch"><input type="checkbox" name="water"><span class="slider"></span></label></div>
+            <div class="switch-row"><span>🔨 Valschade</span><label class="switch"><input type="checkbox" name="val"><span class="slider"></span></label></div>
+            <div class="switch-row"><span>💻 Cosmetische schade onderkant</span><label class="switch"><input type="checkbox" name="cosm_onder"><span class="slider"></span></label></div>
+            <div class="switch-row"><span>⌨️ Cosmetische schade toetsenbord</span><label class="switch"><input type="checkbox" name="cosm_kb"><span class="slider"></span></label></div>
+            <div class="switch-row"><span>📱 Cosmetische schade bovenkant</span><label class="switch"><input type="checkbox" name="cosm_boven"><span class="slider"></span></label></div>
+
+            <button type="submit" class="btn-block btn-success" style="margin-top:16px">Verstuur naar Signpost</button>
+        </form>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    function openTab(evt, tabName) {
+        document.querySelectorAll('.tab-content').forEach(t => { t.style.display = 'none'; t.classList.remove('active'); });
+        document.querySelectorAll('.tab-link').forEach(l => l.classList.remove('active'));
+        document.getElementById(tabName).style.display = 'block';
+        document.getElementById(tabName).classList.add('active');
+        evt.currentTarget.classList.add('active');
+
+        const addBtn = document.getElementById('mainAddBtn');
+        if (tabName === 'signpost-tab') {
+            addBtn.innerHTML = "🚩 Signpost-herstelling toevoegen";
+            addBtn.onclick = openSignpostModal;
+        } else {
+            addBtn.innerHTML = "➕ Herstelling toevoegen";
+            addBtn.onclick = openAddModal;
+        }
+    }
+
+    // Laadscherm bij zoeken in en melden aan Signpost
+    ['signpostSearchForm', 'signpostSubmitForm'].forEach(id => {
+        const f = document.getElementById(id);
+        if (f) f.addEventListener('submit', () => showLoader());
+    });
+
+    function openAddModal() { document.getElementById('addModal').style.display = 'block'; }
+
+    function openSignpostModal() {
+        document.getElementById('signpostModal').style.display = 'block';
+        const currentSearch = document.getElementsByName('serial_number')[0].value;
+        if (currentSearch) document.getElementById('sp_serial_input').value = currentSearch;
+    }
+
+    function openEditModal(btn) {
+        document.getElementById('edit_kamxm_orig').value = btn.getAttribute('data-kamxm');
+        document.getElementById('edit_incident').value = btn.getAttribute('data-incident');
+        document.getElementById('edit_kamxm').value = btn.getAttribute('data-kamxm');
+        document.getElementById('edit_soort').value = btn.getAttribute('data-soort');
+        document.getElementById('edit_datum').value = btn.getAttribute('data-datum');
+        document.getElementById('editModal').style.display = 'block';
+    }
+
+    function openStatusModal(kamxm, incident) {
+        document.getElementById('display_kamxm').textContent = kamxm;
+        document.getElementById('input_status_kamxm').value = kamxm;
+        document.getElementById('input_status_incident').value = incident;
+        document.getElementById('statusModal').style.display = 'block';
+    }
+
+    function submitStatus(waarde) {
+        document.getElementById('input_status_value').value = waarde;
+        document.getElementById('statusForm').submit();
+    }
+
+    function closeModal(id) { document.getElementById(id).style.display = 'none'; }
+
+    window.onclick = function (event) {
+        if (event.target.classList.contains('modal')) event.target.style.display = 'none';
+    };
+</script>
+{% endblock %}
diff --git a/templates/inleveren.html b/templates/inleveren.html
new file mode 100644
index 0000000..b4c36ee
--- /dev/null
+++ b/templates/inleveren.html
@@ -0,0 +1,190 @@
+{% extends "base.html" %}
+
+{% block title %}Inleveren{% endblock %}
+{% block page_title %}Toestel inleveren{% endblock %}
+{% block main_class %}medium{% endblock %}
+{% block loader_text %}Inlevering verwerken...{% endblock %}
+
+{% block head %}
+<script src="https://unpkg.com/html5-qrcode" type="text/javascript"></script>
+{% endblock %}
+
+{% block extra_css %}
+<style>
+    #reader { width: 100%; margin-top: 14px; border: 3px solid var(--primary-color); border-radius: var(--radius); overflow: hidden; display: none; background: #000; }
+    #reader video { width: 100% !important; height: auto !important; object-fit: cover !important; }
+    #scan-result-container { display: none; margin-top: 14px; padding: 14px; border: 2px dashed var(--primary-color); border-radius: var(--radius); background: var(--primary-light); }
+    #scannedText { font-size: 1.2em; color: var(--primary-color); word-break: break-all; }
+    .scan-actions { display: flex; gap: 8px; margin-top: 10px; }
+    .scan-actions button { flex: 1; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="split">
+    <div class="card">
+        <h2 class="card-title">Toestel inleveren</h2>
+
+        {% if message %}
+            {% set ok = 'succesvol' in message or 'ingegeven' in message %}
+            <div class="alert {{ 'alert-success' if ok else 'alert-danger' }}">{{ message }}</div>
+        {% endif %}
+
+        <form method="POST" action="{{ url_for('devices.inleveren_submit') }}" onsubmit="showLoader()">
+            <input type="hidden" id="action_type_hidden" name="action" value="Geen_schade">
+
+            <div class="field zoek-wrap">
+                <label for="internnummer">Internnummer</label>
+                <input type="text" id="internnummer" name="internnummer" required autocomplete="off"
+                       placeholder="Zoek op naam of scan/typ internnummer..." role="combobox"
+                       value="{{ request.args.get('internnummer', '') }}"
+                       aria-autocomplete="list" aria-controls="leerlingSuggesties" aria-expanded="false">
+                <ul class="suggesties" id="leerlingSuggesties" role="listbox"></ul>
+                {% if request.args.get('naam') %}<p class="field-hint">👤 {{ request.args.get('naam') }}</p>{% endif %}
+            </div>
+            <div class="field zoek-wrap">
+                <label for="serienummer">Toestelnummer</label>
+                <input type="text" id="serienummer" name="serienummer" required autocomplete="off"
+                       placeholder="Zoek of scan toestelnummer (of serienummer)..." role="combobox"
+                       value="{{ request.args.get('toestel', '') }}"
+                       aria-autocomplete="list" aria-controls="toestelSuggesties" aria-expanded="false">
+                <ul class="suggesties" id="toestelSuggesties" role="listbox"></ul>
+            </div>
+
+            <label class="check-box">
+                <input type="checkbox" id="schade_aanwezig" onchange="updateActionType(this)">
+                <span>Chromebook heeft schade of opmerkingen</span>
+            </label>
+
+            <div class="field">
+                <label for="schade_type">Schadedetail</label>
+                <input type="text" id="schade_type" name="schade_type" placeholder="Beschrijf de schade..." disabled>
+            </div>
+
+            <button class="btn-block btn-lg" type="submit">📥 Toestel inleveren</button>
+        </form>
+    </div>
+
+    <div class="card order-first-mobile text-center">
+        <h2 class="card-title">📷 Scanner</h2>
+        <button type="button" class="btn-block btn-secondary" id="btn-toggle-scan">📷 Open camera-scanner</button>
+        {# Zonder https geeft de browser geen live camera: dan een foto nemen met de camera-app en de code daaruit lezen #}
+        <label class="btn btn-block btn-secondary" id="btn-foto" style="display:none">
+            📷 Foto van de code nemen
+            <input type="file" id="foto-input" accept="image/*" capture="environment" hidden>
+        </label>
+        <p class="muted small" id="scan-hint" style="display:none;margin:8px 0 0"></p>
+
+        <div id="reader"></div>
+
+        <div id="scan-result-container">
+            <div class="muted small">Gescande waarde</div>
+            <strong id="scannedText">-</strong>
+            <div class="scan-actions">
+                <button type="button" class="btn-sm" onclick="copyToField('internnummer')">→ Internnr.</button>
+                <button type="button" class="btn-sm" onclick="copyToField('serienummer')">→ Toestelnr.</button>
+            </div>
+        </div>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+{% set toestel_voorkeur = 'uitgeleend' %}{% set toestel_vul_intern = true %}{% include '_toestel_zoekveld.html' %}
+<script>
+    let html5QrCode;
+    const scanBtn = document.getElementById('btn-toggle-scan');
+    const readerDiv = document.getElementById('reader');
+    const resultContainer = document.getElementById('scan-result-container');
+    const scannedTextElement = document.getElementById('scannedText');
+
+    scanBtn.addEventListener('click', () => {
+        if (!html5QrCode || !html5QrCode.isScanning) startScanner(); else stopScanner();
+    });
+
+    // Live camera kan enkel via https (of localhost). Anders: foto nemen en de code uit de foto lezen.
+    const fotoBtn = document.getElementById('btn-foto');
+    const fotoInput = document.getElementById('foto-input');
+    const scanHint = document.getElementById('scan-hint');
+    function fotoModus(reden) {
+        scanBtn.style.display = 'none';
+        fotoBtn.style.display = '';
+        scanHint.textContent = reden;
+        scanHint.style.display = '';
+    }
+    if (!window.isSecureContext || !(navigator.mediaDevices && navigator.mediaDevices.getUserMedia)) {
+        fotoModus('Neem een scherpe foto van de streepjes- of QR-code, van dichtbij en recht ervoor.');
+    }
+    fotoInput.addEventListener('change', () => {
+        const bestand = fotoInput.files && fotoInput.files[0];
+        if (!bestand) return;
+        scanHint.textContent = 'Code zoeken in de foto...';
+        scanHint.style.display = '';
+        const lezer = new Html5Qrcode("reader");
+        lezer.scanFile(bestand, false)
+            .then(tekst => {
+                scannedTextElement.textContent = tekst;
+                resultContainer.style.display = 'block';
+                scanHint.textContent = 'Code gevonden. Kies hieronder in welk veld ze moet komen.';
+            })
+            .catch(() => { scanHint.textContent = 'Geen code gevonden in de foto. Probeer opnieuw, van dichterbij en zonder schittering.'; })
+            .finally(() => { fotoInput.value = ''; lezer.clear(); });
+    });
+
+    function startScanner() {
+        readerDiv.style.display = 'block';
+        scanBtn.textContent = '❌ Stop scanner';
+        scanBtn.classList.replace('btn-secondary', 'btn-danger');
+
+        html5QrCode = new Html5Qrcode("reader");
+        const config = { fps: 20, qrbox: { width: 300, height: 150 }, aspectRatio: 1.777778 };
+
+        html5QrCode.start(
+            { facingMode: "environment" },
+            config,
+            (decodedText) => {
+                scannedTextElement.textContent = decodedText;
+                resultContainer.style.display = 'block';
+            },
+            () => {}
+        ).catch((err) => {
+            console.error(err);
+            readerDiv.style.display = 'none';
+            scanBtn.textContent = '📷 Open camera-scanner';
+            scanBtn.classList.replace('btn-danger', 'btn-secondary');
+            fotoModus('De live camera kon niet starten. Neem in de plaats een foto van de code.');
+        });
+    }
+
+    function stopScanner() {
+        if (html5QrCode) {
+            html5QrCode.stop().then(() => {
+                readerDiv.style.display = 'none';
+                scanBtn.textContent = '📷 Open camera-scanner';
+                scanBtn.classList.replace('btn-danger', 'btn-secondary');
+            }).catch(err => console.error(err));
+        }
+    }
+
+    function copyToField(fieldId) {
+        const input = document.getElementById(fieldId);
+        input.value = scannedTextElement.textContent;
+        input.style.backgroundColor = '#d1fae5';
+        setTimeout(() => input.style.backgroundColor = '', 500);
+    }
+
+    function updateActionType(checkbox) {
+        const schadeInput = document.getElementById('schade_type');
+        const hiddenActionField = document.getElementById('action_type_hidden');
+        if (checkbox.checked) {
+            schadeInput.disabled = false;
+            schadeInput.focus();
+            hiddenActionField.value = "Schade";
+        } else {
+            schadeInput.disabled = true;
+            schadeInput.value = '';
+            hiddenActionField.value = "Geen_schade";
+        }
+    }
+</script>
+{% endblock %}
diff --git a/templates/internen.html b/templates/internen.html
new file mode 100644
index 0000000..dd5144c
--- /dev/null
+++ b/templates/internen.html
@@ -0,0 +1,217 @@
+{% extends "base.html" %}
+
+{% block title %}Internen{% endblock %}
+{% block page_title %}Internen{% endblock %}
+{% block main_class %}wide{% endblock %}
+{% block loader_text %}Internen ophalen uit Informat...{% endblock %}
+
+{% block extra_css %}
+<style>
+    .keuze { display: flex; flex-wrap: wrap; gap: 8px; align-items: center; margin: 0; }
+    .keuze { flex-wrap: nowrap; }
+    .keuze select, .keuze input { width: auto; flex: 0 0 auto; }
+    .keuze input[type=date] { max-width: 165px; }
+    .filter-bar { display: flex; flex-wrap: wrap; gap: 10px; align-items: center; margin: 12px 0; }
+    .filter-bar input[type=search] { flex: 0 1 320px; }
+    .filter-bar select { width: auto; min-width: 0; }
+    .tellers { display: flex; flex-wrap: wrap; gap: 8px; margin: 4px 0 6px; }
+    .tellers span { padding: 4px 12px; border-radius: 999px; background: var(--surface-muted); border: 1px solid var(--border); font-size: .88em; }
+    .tellers b { margin-left: 4px; }
+    td.nowrap { white-space: nowrap; }
+    td.ss { text-align: center; }
+    .ss-teken { display: inline-grid; place-items: center; width: 24px; height: 24px; border-radius: 6px; font-weight: 700; }
+    .ss-teken.ja { background: #dcfce7; color: #15803d; }
+    .ss-teken.nee { background: #fee2e2; color: #b91c1c; }
+    .ss-teken.bezig { color: var(--text-muted, #64748b); }
+    .ouder { display: block; white-space: nowrap; font-size: .9em; }
+    .ouder .muted { font-size: .92em; }
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>🛏️ Internen · {{ school_naam }}</h2>
+        <div class="actions">
+            <form method="GET" action="{{ url_for('internaat.internen') }}" class="keuze" onchange="showLoader(); this.submit()">
+                <select name="schooljaar" aria-label="Schooljaar">
+                    {% for j in jaren %}<option value="{{ j }}" {{ 'selected' if j == schooljaar }}>Schooljaar {{ j }}</option>{% endfor %}
+                </select>
+                <label class="muted small" for="peildatum">op</label>
+                <input type="date" id="peildatum" name="peildatum" value="{{ peildatum.isoformat() }}" aria-label="Peildatum">
+            </form>
+            {% if rijen %}<a class="btn btn-light btn-sm" id="exportKnop" href="{{ url_for('internaat.export', schooljaar=schooljaar, peildatum=peildatum.isoformat()) }}">⬇️ CSV</a>{% endif %}
+            <a class="btn btn-secondary btn-sm" href="{{ url_for('internaat.internen', schooljaar=schooljaar, peildatum=peildatum.isoformat(), vernieuw=1) }}" onclick="showLoader()">🔄 Opnieuw ophalen</a>
+        </div>
+    </div>
+
+    {% if fout %}
+        <div class="alert alert-danger">{{ fout }}</div>
+    {% elif not rijen %}
+        <p class="muted">Geen internen ingeschreven op {{ peildatum.strftime('%d-%m-%Y') }} (schooljaar {{ schooljaar }}).</p>
+    {% else %}
+        <div class="tellers">
+            <span>Internen <b id="tAantal">{{ rijen|length }}</b></span>
+            <span>Jongens <b id="tM">{{ rijen|selectattr('geslacht', 'equalto', 'M')|list|length }}</b></span>
+            <span>Meisjes <b id="tV">{{ rijen|selectattr('geslacht', 'equalto', 'V')|list|length }}</b></span>
+            <span id="ssTeller" title="Internen waarvoor geen Smartschool-gebruiker gevonden werd">Niet in Smartschool <b id="tSS">…</b></span>
+            <span id="ssFout" class="muted small" hidden></span>
+        </div>
+        <div class="filter-bar">
+            <input type="search" id="zoek" placeholder="Zoek op naam, kamer, stamnummer of woonplaats..." aria-label="Zoeken">
+            {% if internaten|length > 1 %}
+            <select id="internaat" aria-label="Internaat">
+                <option value="">Alle internaten</option>
+                {% for i in internaten %}<option>{{ i }}</option>{% endfor %}
+            </select>
+            {% endif %}
+            <span id="perPagina"></span>
+            <span class="muted small">Opgehaald uit Informat op {{ opgehaald }}</span>
+        </div>
+
+        <div class="table-wrap">
+            <table>
+                <thead>
+                    <tr>
+                        <th class="sorteer" data-tekst>Naam <span class="pijl"></span></th>
+                        <th class="sorteer" data-tekst>Voornaam <span class="pijl"></span></th>
+                        <th class="sorteer" data-tekst title="Bestaat de intern als gebruiker in Smartschool (gebruikersnaam: voornaam achternaam)?">Smartschool <span class="pijl"></span></th>
+                        <th class="sorteer">Geboren <span class="pijl"></span></th>
+                        <th class="sorteer" data-tekst>M/V <span class="pijl"></span></th>
+                        {% if internaten|length > 1 %}<th class="sorteer" data-tekst>Internaat <span class="pijl"></span></th>{% endif %}
+                        <th class="sorteer" data-tekst>Vestiging <span class="pijl"></span></th>
+                        <th class="sorteer" data-tekst>Kamer <span class="pijl"></span></th>
+                        <th class="sorteer">Ingeschreven <span class="pijl"></span></th>
+                        <th class="sorteer" data-tekst>Woonplaats <span class="pijl"></span></th>
+                        <th>Contactpersonen</th>
+                    </tr>
+                </thead>
+                <tbody id="body">
+                {% for r in rijen %}
+                    <tr data-internaat="{{ r.internaat }}" data-geslacht="{{ r.geslacht }}">
+                        <td data-sort="{{ r.naam }}"><strong>{{ r.naam }}</strong>{% if r.stamnummer %}<br><span class="muted small" style="white-space:nowrap">stamnr. {{ r.stamnummer }}</span>{% endif %}</td>
+                        <td data-sort="{{ r.voornaam }}">{{ r.voornaam }}</td>
+                        <td class="ss" data-sort="" data-pid="{{ r.id }}" data-voornaam="{{ r.voornaam }}" data-naam="{{ r.naam }}"><span class="ss-teken bezig" title="Controleren in Smartschool…">…</span></td>
+                        <td class="nowrap" data-sort="{{ r.geboortedatum.isoformat() if r.geboortedatum else '' }}">{{ r.geboortedatum.strftime('%d-%m-%Y') if r.geboortedatum else '' }}</td>
+                        <td data-sort="{{ r.geslacht }}">{{ r.geslacht }}</td>
+                        {% if internaten|length > 1 %}<td data-sort="{{ r.internaat }}">{{ r.internaat }}</td>{% endif %}
+                        <td data-sort="{{ r.vestiging }}">{{ r.vestiging }}</td>
+                        <td class="nowrap" data-sort="{{ r.kamer_sort }}">{{ r.kamer or '–' }}</td>
+                        <td class="nowrap" data-sort="{{ r.begin.isoformat() if r.begin else '' }}">{{ r.begin.strftime('%d-%m-%Y') if r.begin else '' }}{% if r.einde %}<br><span class="muted small">tot {{ r.einde.strftime('%d-%m-%Y') }}</span>{% endif %}
+                            {% if r.financiering %}<br><span class="muted small">{{ r.financiering }}</span>{% endif %}</td>
+                        <td data-sort="{{ r.gemeente }}">{{ r.gemeente }}</td>
+                        <td>
+                            {% for o in r.ouders[:3] %}
+                            <span class="ouder">{{ o.naam }}{% if o.type %} <span class="muted">({{ o.type|lower }})</span>{% endif %}
+                                {% if o.gsm %}· <a href="tel:{{ o.gsm|replace(' ', '') }}">{{ o.gsm }}</a>{% endif %}
+                                {% if o.email %}· <a href="mailto:{{ o.email }}" title="{{ o.email }}">✉️</a>{% endif %}</span>
+                            {% endfor %}
+                        </td>
+                    </tr>
+                {% endfor %}
+                </tbody>
+            </table>
+        </div>
+        <div class="tabel-voet">
+            <div class="muted small" id="teller"></div>
+            <nav class="paginering" id="paginering" aria-label="Pagina's"></nav>
+        </div>
+    {% endif %}
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    (function () {
+        const body = document.getElementById('body');
+        if (!body) return;
+        const zoekveld = document.getElementById('zoek'), internaatSel = document.getElementById('internaat');
+        const exp = document.getElementById('exportKnop'), basisExport = exp ? exp.href : '';
+        let PER_PAGINA = perPagina('internen'), pagina = 1, zoek = '', internaat = '';
+        let ssKlaar = false;
+        function toon() {
+            const rijen = Array.from(body.rows).filter(tr => (!internaat || tr.dataset.internaat === internaat)
+                && (!zoek || tr.textContent.toLowerCase().includes(zoek)));
+            document.getElementById('tAantal').textContent = rijen.length;
+            document.getElementById('tM').textContent = rijen.filter(tr => tr.dataset.geslacht === 'M').length;
+            document.getElementById('tV').textContent = rijen.filter(tr => tr.dataset.geslacht === 'V').length;
+            if (ssKlaar) document.getElementById('tSS').textContent = rijen.filter(tr => tr.querySelector('td.ss').dataset.sort === '0').length;
+            const grootte = PER_PAGINA || Infinity, paginas = Math.max(1, Math.ceil(rijen.length / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER_PAGINA ? (pagina - 1) * PER_PAGINA : 0, tot = van + grootte;
+            Array.from(body.rows).forEach(tr => tr.style.display = 'none');
+            rijen.forEach((tr, i) => tr.style.display = (i >= van && i < tot) ? '' : 'none');
+            document.getElementById('teller').textContent = rijen.length
+                ? `${van + 1}–${Math.min(tot, rijen.length)} van ${rijen.length}` : 'Niets gevonden';
+            if (exp) {
+                const u = new URL(basisExport);
+                if (internaat) u.searchParams.set('internaat', internaat); else u.searchParams.delete('internaat');
+                if (zoek) u.searchParams.set('zoek', zoek); else u.searchParams.delete('zoek');
+                exp.href = u.toString();
+            }
+            const nav = document.getElementById('paginering');
+            nav.innerHTML = '';
+            if (paginas <= 1) return;
+            const knop = (label, p, actief) => {
+                const b = document.createElement('button');
+                b.type = 'button'; b.textContent = label; b.className = 'btn-sm ' + (actief ? 'btn-secondary' : 'btn-light');
+                b.onclick = () => { pagina = p; toon(); };
+                nav.appendChild(b);
+            };
+            if (pagina > 1) { knop('«', 1); knop('‹ Vorige', pagina - 1); }
+            for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+            if (pagina < paginas) { knop('Volgende ›', pagina + 1); knop('»', paginas); }
+        }
+        zoekveld.addEventListener('input', () => { zoek = zoekveld.value.trim().toLowerCase(); pagina = 1; toon(); });
+        if (internaatSel) internaatSel.addEventListener('change', () => { internaat = internaatSel.value; pagina = 1; toon(); });
+        let kol = null, op = true;
+        document.querySelectorAll('th.sorteer').forEach(th => th.addEventListener('click', () => {
+            const k = th.cellIndex;
+            op = kol === k ? !op : 'tekst' in th.dataset;
+            kol = k;
+            document.querySelectorAll('th.sorteer').forEach(x => x.classList.remove('op', 'af'));
+            th.classList.add(op ? 'op' : 'af');
+            Array.from(body.rows).sort((a, b) => {
+                const x = a.cells[k].dataset.sort || '', y = b.cells[k].dataset.sort || '';
+                if (!x !== !y) return x ? -1 : 1;
+                const c = x.localeCompare(y, 'nl', { numeric: true, sensitivity: 'base' });
+                return op ? c : -c;
+            }).forEach(tr => body.appendChild(tr));
+            pagina = 1; toon();
+        }));
+        perPaginaKiezer(document.getElementById('perPagina'), 'internen', n => { PER_PAGINA = n; pagina = 1; toon(); });
+        toon();
+
+        // Smartschool: bestaat er een gebruiker "voornaam achternaam"? (op de achtergrond, 1 uur bewaard)
+        const cellen = Array.from(body.querySelectorAll('td.ss'));
+        fetch({{ url_for('internaat.internen_smartschool')|tojson }}, {
+            method: 'POST', credentials: 'same-origin', headers: {'Content-Type': 'application/json'},
+            body: JSON.stringify({personen: cellen.map(td => ({pid: td.dataset.pid, voornaam: td.dataset.voornaam, naam: td.dataset.naam}))})
+        }).then(r => r.json()).then(res => {
+            if (!res.ok) {
+                cellen.forEach(td => td.innerHTML = '<span class="muted">–</span>');
+                const f = document.getElementById('ssFout'); f.textContent = '⚠️ ' + res.fout; f.hidden = false;
+                document.getElementById('ssTeller').hidden = true;
+                return;
+            }
+            let nee = 0;
+            cellen.forEach(td => {
+                const gebruiker = res.status[td.dataset.pid];
+                td.dataset.sort = gebruiker ? '1' : '0';
+                td.innerHTML = gebruiker
+                    ? `<span class="ss-teken ja" title="Smartschool-gebruiker: ${gebruiker}">✓</span>`
+                    : '<span class="ss-teken nee" title="Geen Smartschool-gebruiker gevonden">✕</span>';
+                if (!gebruiker) nee++;
+            });
+            ssKlaar = true; toon();
+        }).catch(() => cellen.forEach(td => td.innerHTML = '<span class="muted">?</span>'));
+    })();
+</script>
+{% endblock %}
diff --git a/templates/internet_connection.html b/templates/internet_connection.html
new file mode 100644
index 0000000..23164b0
--- /dev/null
+++ b/templates/internet_connection.html
@@ -0,0 +1,56 @@
+{% extends "base.html" %}
+
+{% block title %}Internetstatus{% endblock %}
+{% block page_title %}Internetstatus{% endblock %}
+{% block main_class %}narrow{% endblock %}
+
+{% block extra_css %}
+<style>
+    .status-display {
+        display: flex; align-items: center; justify-content: center; gap: 14px;
+        font-size: 2.2em; font-weight: 800;
+        padding: 28px 20px; border-radius: var(--radius-lg); margin-bottom: 20px;
+        border: 2px solid;
+    }
+    .status-dot { width: 22px; height: 22px; border-radius: 50%; background: currentColor; box-shadow: 0 0 0 6px rgba(0,0,0,.06); }
+    .online  { background: var(--success-bg); color: var(--success-text); border-color: var(--success); }
+    .offline { background: var(--danger-bg);  color: var(--danger-text);  border-color: var(--danger); }
+    .note-display { font-size: 1.6em; font-weight: 700; text-align: center; margin-bottom: 8px; word-wrap: break-word; line-height: 1.25; }
+    .admin-block { margin-top: 24px; padding-top: 20px; border-top: 1px solid var(--border); }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    {% set status_text = 'Online' if current_status == 1 else 'Offline' %}
+    {% set status_class = 'online' if current_status == 1 else 'offline' %}
+
+    <div class="status-display {{ status_class }}">
+        <span class="status-dot"></span> Internet: {{ status_text }}
+    </div>
+
+    {% if current_note %}
+        <div class="note-display">{{ current_note }}</div>
+    {% endif %}
+
+    {% if session.get('security_group')|int == 1 %}
+    <div class="admin-block">
+        <form method="POST" action="{{ url_for('tools.toggle_internet') }}">
+            {% if current_status == 1 %}
+                <button type="submit" class="btn-block btn-lg btn-danger" name="new_status" value="0">Zet status op OFFLINE</button>
+            {% else %}
+                <button type="submit" class="btn-block btn-lg btn-success" name="new_status" value="1">Zet status op ONLINE</button>
+            {% endif %}
+        </form>
+
+        <form method="POST" action="{{ url_for('tools.save_note') }}" style="margin-top: 20px;">
+            <div class="field">
+                <label for="status_note">Tekst bij de status</label>
+                <textarea id="status_note" name="status_note" class="note-textarea" placeholder="Typ hier een korte tekst..." style="min-height: 80px;">{{ current_note }}</textarea>
+            </div>
+            <button type="submit" class="btn-secondary">💾 Notitie opslaan</button>
+        </form>
+    </div>
+    {% endif %}
+</div>
+{% endblock %}
diff --git a/templates/inventaris.html b/templates/inventaris.html
new file mode 100644
index 0000000..621e45d
--- /dev/null
+++ b/templates/inventaris.html
@@ -0,0 +1,310 @@
+{% extends "base.html" %}
+
+{% block title %}Eigendom{% endblock %}
+{% block page_title %}Eigendom{% endblock %}
+{% block main_class %}wide{% endblock %}
+
+{% block extra_css %}
+<style>
+    .col-gebruikersnaam, .col-ssnummer { display: none; }
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+    /* Actieknoppen in een raster van 2 kolommen, zodat de hele regel zonder horizontaal schuiven zichtbaar is */
+    td.actions { width: 1%; }
+    .knoppen { display: grid; grid-template-columns: repeat(2, auto); gap: 6px; justify-content: end; }
+    .knoppen > *, .knoppen form button { white-space: nowrap; margin: 0; width: 100%; text-align: center; }
+    .knoppen form { margin: 0; }
+    td.col-naam { min-width: 120px; }
+    .toestelfilter { display: inline-flex; border: 1px solid var(--border); border-radius: 999px; overflow: hidden; margin: 4px 0 10px; }
+    .toestelfilter button { border: 0; border-radius: 0; margin: 0; width: auto; padding: 6px 14px; font-size: .9em;
+                            background: var(--surface, #fff); color: inherit; font-weight: 500; cursor: pointer; }
+    .toestelfilter button + button { border-left: 1px solid var(--border); }
+    .toestelfilter button[aria-pressed="true"] { background: var(--primary-color); color: #fff; }
+    .toestelfilter b { margin-left: 4px; }
+    tr.geen-toestel td.col-kamxm { color: var(--text-muted, #64748b); font-style: italic; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head"><h2>🏷️ Toestellen bij leerlingen</h2></div>
+
+    <form id="search-form" class="search-bar" method="POST" action="{{ url_for('devices.inventaris_eigendom') }}">
+        <input type="text" name="query" placeholder="Zoek op naam, internnummer, toestelnummer of serienummer..." value="{{ query or '' }}">
+        <button type="submit">🔍 Zoeken</button>
+    </form>
+
+    {% if message %}
+        <div class="alert">{{ message }}</div>
+    {% endif %}
+
+    {% if results %}
+        {% set met = results|selectattr('heeft_toestel')|list|length %}
+        <div class="toestelfilter" role="group" aria-label="Filter op toestel">
+            <button type="button" data-filter="" aria-pressed="true">Alle <b>{{ results|length }}</b></button>
+            <button type="button" data-filter="1" aria-pressed="false">✅ Met toestel <b>{{ met }}</b></button>
+            <button type="button" data-filter="0" aria-pressed="false">⛔ Zonder toestel <b>{{ results|length - met }}</b></button>
+        </div>
+        <div class="column-toggles" id="column-toggles">
+            <label><input type="checkbox" id="toggle-internnummer" checked onchange="toggleColumn('col-internnummer')"> Internnummer</label>
+            <label><input type="checkbox" id="toggle-naam" checked onchange="toggleColumn('col-naam')"> Naam</label>
+            <label><input type="checkbox" id="toggle-gebruikersnaam" onchange="toggleColumn('col-gebruikersnaam')"> Gebruikersnaam</label>
+            <label><input type="checkbox" id="toggle-ssnummer" onchange="toggleColumn('col-ssnummer')"> SS_nummer</label>
+            <label><input type="checkbox" id="toggle-kamxm" checked onchange="toggleColumn('col-kamxm')"> Toestelnummer</label>
+            <label><input type="checkbox" id="toggle-serie" checked onchange="toggleColumn('col-serie')"> Serienummer</label>
+            <label><input type="checkbox" id="toggle-sinds" checked onchange="toggleColumn('col-sinds')"> Sinds</label>
+            <label><input type="checkbox" id="toggle-status" checked onchange="toggleColumn('col-status')"> Status</label>
+        </div>
+
+        <div class="table-wrap">
+            <table>
+                <thead>
+                    <tr>
+                        <th class="col-internnummer sorteer" data-kol="0">Internnummer <span class="pijl"></span></th>
+                        <th class="col-naam sorteer" data-kol="1">Naam <span class="pijl"></span></th>
+                        <th class="col-gebruikersnaam sorteer" data-kol="2">Gebruikersnaam <span class="pijl"></span></th>
+                        <th class="col-ssnummer sorteer" data-kol="3">SS_nummer <span class="pijl"></span></th>
+                        <th class="col-kamxm sorteer" data-kol="4">Toestelnummer <span class="pijl"></span></th>
+                        <th class="col-serie sorteer" data-kol="5">Serienummer <span class="pijl"></span></th>
+                        <th class="col-sinds sorteer" data-kol="6">Sinds <span class="pijl"></span></th>
+                        <th class="col-status sorteer" data-kol="7">Status <span class="pijl"></span></th>
+                        <th class="actions" aria-label="Acties"></th>
+                    </tr>
+                </thead>
+                <tbody id="eigendomBody">
+                {% for row in results %}
+                    <tr data-toestel="{{ 1 if row['heeft_toestel'] else 0 }}" class="{{ '' if row['heeft_toestel'] else 'geen-toestel' }}">
+                        <td class="col-internnummer" data-sort="{{ row['internnummer'] }}"><strong>{{ row['internnummer'] }}</strong></td>
+                        <td class="col-naam" data-sort="{{ row['Naam'] or '' }} {{ row['Voornaam'] or '' }}">{{ row['Voornaam'] or '' }} {{ row['Naam'] or '' }}</td>
+                        <td class="col-gebruikersnaam" data-sort="{{ row['Gebruikersnaam'] or '' }}">{{ row['Gebruikersnaam'] or '' }}</td>
+                        <td class="col-ssnummer" data-sort="{{ row['SS_nummer'] or '' }}">{{ row['SS_nummer'] or '' }}</td>
+                        <td class="col-kamxm" data-sort="{{ row['kamxm_nummer'] or '' }}">{{ row['kamxm_nummer'] or ('' if row['heeft_toestel'] else 'geen toestel') }}</td>
+                        <td class="col-serie" data-sort="{{ row['Serienummer'] or '' }}">{{ row['Serienummer'] or '' }}</td>
+                        <td class="col-sinds nowrap" data-sort="{{ row['Datum_toekenning'] or '' }}">{{ row['Datum_toekenning'].strftime('%d-%m-%Y') if row['Datum_toekenning'] and row['Datum_toekenning'].strftime is defined else (row['Datum_toekenning'] or '') }}</td>
+                        <td class="col-status" data-sort="{{ row['locked'] | int }}">
+                            {% if not row['heeft_toestel'] %}<span class="badge">—</span>
+                            {% elif row['locked'] | int == 1 %}<span class="badge badge-danger">🔒 Geblokkeerd</span>
+                            {% else %}<span class="badge badge-success">🔓 Actief</span>
+                            {% endif %}
+                        </td>
+                        <td class="actions">
+                            <span class="knoppen">
+                            {% if mag('toestel_blokkeren') and row['heeft_toestel'] %}
+                            <form class="action-form" method="POST" action="{{ url_for('devices.toggle_lock') }}" style="margin:0">
+                                <input type="hidden" name="internnummer" value="{{ row['internnummer'] }}">
+                                <input type="hidden" name="query" value="{{ query }}">
+                                {% if row['locked'] | int == 1 %}
+                                    <button type="submit" class="btn-sm btn-success">🔓 Deblokkeren</button>
+                                {% else %}
+                                    <button type="submit" class="btn-sm btn-danger">🔒 Blokkeren</button>
+                                {% endif %}
+                            </form>
+                            {% endif %}
+                            {% if mag('toestellen_uitdelen') and row['heeft_toestel'] %}
+                            <button type="button" class="btn-sm btn-warning"
+                                    data-id="{{ row['Eigendom_ID'] }}" data-intern="{{ row['internnummer'] }}"
+                                    data-toestel="{{ row['kamxm_nummer'] or row['Serienummer'] or '' }}"
+                                    data-naam="{{ row['Voornaam'] or '' }} {{ row['Naam'] or '' }}"
+                                    onclick="openEigendomBewerken(this)">✏️ Bewerken</button>
+                            {% endif %}
+                            {% if mag('toestellen_uitdelen') %}
+                            {% if row['heeft_toestel'] %}
+                            <a class="btn btn-sm btn-light" title="Naar het inleverformulier, al ingevuld"
+                               href="{{ url_for('devices.inleveren_page', internnummer=row['internnummer'], toestel=row['kamxm_nummer'] or row['Serienummer'] or '', naam=((row['Voornaam'] or '') ~ ' ' ~ (row['Naam'] or ''))|trim) }}">📥 Inleveren</a>
+                            {% else %}
+                            <a class="btn btn-sm btn-success" title="Naar het uitdeelformulier met deze leerling ingevuld"
+                               href="{{ url_for('devices.uitdelen_page', internnummer=row['internnummer'], naam=((row['Voornaam'] or '') ~ ' ' ~ (row['Naam'] or ''))|trim) }}">📤 Uitdelen</a>
+                            {% endif %}
+                            {% endif %}
+                            <button type="button" class="btn-sm btn-light" data-intern="{{ row['internnummer'] }}"
+                                    data-naam="{{ row['Voornaam'] or '' }} {{ row['Naam'] or '' }}"
+                                    onclick="openHistorie(this)" title="Alle toestellen die deze leerling gehad heeft">🕑 Historie</button>
+                            </span>
+                        </td>
+                    </tr>
+                {% endfor %}
+                </tbody>
+            </table>
+        </div>
+        <div class="tabel-voet">
+            <div style="display:flex;align-items:center;gap:14px;flex-wrap:wrap">
+                <div class="muted small" id="eigendomTeller"></div>
+                <span id="eigendomPerPagina"></span>
+            </div>
+            <nav class="paginering" id="eigendomPaginering" aria-label="Pagina's"></nav>
+        </div>
+    {% elif query %}
+        <p class="muted">Geen resultaten gevonden voor "{{ query }}".</p>
+    {% else %}
+        <p class="muted">Er zijn nog geen leerlingen.</p>
+    {% endif %}
+</div>
+{% endblock %}
+
+{% block modals %}
+<div id="historieModal" class="modal">
+    <div class="modal-content" style="max-width:900px">
+        <span class="close" onclick="document.getElementById('historieModal').style.display='none'">&times;</span>
+        <h3>🕑 Toestellen van <span id="hNaam"></span></h3>
+        <p class="muted small" id="hSub" style="margin-top:-8px"></p>
+        <div id="hInhoud"><p class="muted">Laden...</p></div>
+    </div>
+</div>
+<div id="eigendomModal" class="modal">
+    <div class="modal-content">
+        <span class="close" onclick="document.getElementById('eigendomModal').style.display='none'">&times;</span>
+        <h3>✏️ Eigendom aanpassen</h3>
+        <p class="muted small" id="emHuidig" style="margin-top:-8px"></p>
+        <form method="POST" action="{{ url_for('devices.eigendom_bewerken') }}" id="eigendomForm" autocomplete="off">
+            <input type="hidden" name="eigendom_id" id="emId">
+            <input type="hidden" name="query" value="{{ query or '' }}">
+            <div class="field zoek-wrap">
+                <label for="internnummer">Internnummer</label>
+                <input type="text" id="internnummer" name="internnummer" required autocomplete="off"
+                       placeholder="Zoek op naam of typ internnummer..." role="combobox"
+                       aria-autocomplete="list" aria-controls="leerlingSuggesties" aria-expanded="false">
+                <ul class="suggesties" id="leerlingSuggesties" role="listbox"></ul>
+            </div>
+            <div class="field zoek-wrap">
+                <label for="serienummer">Toestelnummer</label>
+                <input type="text" id="serienummer" name="toestelnummer" required autocomplete="off"
+                       placeholder="Zoek toestelnummer (of serienummer)..." role="combobox"
+                       aria-autocomplete="list" aria-controls="toestelSuggesties" aria-expanded="false">
+                <ul class="suggesties" id="toestelSuggesties" role="listbox"></ul>
+            </div>
+            <p class="field-hint">Kies je een ander toestel, dan komt het vorige toestel weer op <em>Beschikbaar</em>.
+               Een toestel dat al bij een andere leerling is, kan je hier niet kiezen: lever het eerst in.</p>
+            <button type="submit" class="btn-block">💾 Opslaan</button>
+        </form>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+{% if mag('toestellen_uitdelen') %}
+{% set toestel_voorkeur = 'beschikbaar' %}{% include '_toestel_zoekveld.html' %}
+<script>
+    function openEigendomBewerken(knop) {
+        document.getElementById('emId').value = knop.dataset.id;
+        document.getElementById('internnummer').value = knop.dataset.intern;
+        document.getElementById('serienummer').value = knop.dataset.toestel;
+        document.getElementById('emHuidig').textContent =
+            `Nu: ${knop.dataset.toestel} bij ${knop.dataset.naam.trim() || knop.dataset.intern} (${knop.dataset.intern})`;
+        document.getElementById('eigendomModal').style.display = 'block';
+        document.getElementById('internnummer').focus();
+    }
+    window.addEventListener('click', e => { if (e.target.id === 'eigendomModal') e.target.style.display = 'none'; });
+</script>
+{% endif %}
+<script>
+    const HISTORIE_URL = {{ url_for('devices.eigendom_historie', internnummer='__I__')|tojson }};
+    const esc = t => String(t ?? '').replace(/[&<>"]/g, c => ({ '&': '&amp;', '<': '&lt;', '>': '&gt;', '"': '&quot;' })[c]);
+    function duur(dagen) {
+        if (dagen == null) return '';
+        if (dagen < 31) return dagen + ' dag' + (dagen === 1 ? '' : 'en');
+        const m = Math.round(dagen / 30.44);
+        return m < 12 ? m + ' maand' + (m === 1 ? '' : 'en') : (dagen / 365.25).toFixed(1).replace('.', ',') + ' jaar';
+    }
+    function openHistorie(knop) {
+        const venster = document.getElementById('historieModal'), inhoud = document.getElementById('hInhoud');
+        document.getElementById('hNaam').textContent = knop.dataset.naam.trim() || knop.dataset.intern;
+        document.getElementById('hSub').textContent = 'Internnummer ' + knop.dataset.intern;
+        inhoud.innerHTML = '<p class="muted">Laden...</p>';
+        venster.style.display = 'block';
+        fetch(HISTORIE_URL.replace('__I__', encodeURIComponent(knop.dataset.intern)), { credentials: 'same-origin' })
+            .then(r => r.json()).then(res => {
+                const t = res.toestellen || [];
+                if (res.gebruikersnaam) document.getElementById('hSub').textContent += ' · ' + res.gebruikersnaam;
+                if (!t.length) { inhoud.innerHTML = '<p class="muted">Geen toestellen gevonden.</p>'; return; }
+                inhoud.innerHTML = `<p class="muted small">${t.length} toestel(len) in totaal</p>
+                    <div class="table-wrap"><table><thead><tr><th>Toestelnummer</th><th>Serienummer</th><th>Type</th>
+                    <th>Gekregen</th><th>Ingeleverd</th><th>Duur</th><th>Opmerkingen</th></tr></thead><tbody>`
+                    + t.map(x => `<tr${x.huidig ? ' style="background:var(--primary-light)"' : ''}>
+                        <td><strong>${esc(x.toestel)}</strong></td><td>${esc(x.serienummer)}</td><td>${esc(x.type)}</td>
+                        <td class="nowrap">${esc(x.van)}</td>
+                        <td class="nowrap">${x.huidig ? '<span class="badge badge-success">nog in gebruik</span>' : esc(x.tot)}${x.geblokkeerd && x.huidig ? ' <span class="badge badge-danger">🔒</span>' : ''}</td>
+                        <td class="nowrap">${duur(x.dagen)}</td><td class="small">${esc(x.opmerkingen)}</td></tr>`).join('')
+                    + '</tbody></table></div>';
+            }).catch(() => { inhoud.innerHTML = '<div class="alert alert-danger">Kon de historie niet ophalen.</div>'; });
+    }
+    window.addEventListener('click', e => { if (e.target.id === 'historieModal') e.target.style.display = 'none'; });
+
+    // Sorteren (klik op kolomkop) en 10 per pagina — in de browser
+    (function () {
+        const body = document.getElementById('eigendomBody');
+        if (!body) return;
+        let PER_PAGINA = perPagina('eigendom');
+        let pagina = 1, kol = null, op = true, filter = '';
+        // Filter: alle leerlingen / met toestel / zonder toestel
+        document.querySelectorAll('.toestelfilter button').forEach(b => b.addEventListener('click', () => {
+            filter = b.dataset.filter;
+            document.querySelectorAll('.toestelfilter button').forEach(x => x.setAttribute('aria-pressed', String(x === b)));
+            pagina = 1; toon();
+        }));
+        function toon() {
+            const zichtbaar = Array.from(body.rows).filter(tr => !filter || tr.dataset.toestel === filter);
+            const totaal = zichtbaar.length;
+            const grootte = PER_PAGINA || Infinity;
+            const paginas = Math.max(1, Math.ceil(totaal / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER_PAGINA ? (pagina - 1) * PER_PAGINA : 0, tot = van + grootte;   // 0 = alles
+            Array.from(body.rows).forEach(tr => tr.style.display = 'none');
+            zichtbaar.forEach((tr, i) => tr.style.display = (i >= van && i < tot) ? '' : 'none');
+            document.getElementById('eigendomTeller').textContent = totaal
+                ? `${van + 1}–${Math.min(tot, totaal)} van ${totaal} leerling(en)` : 'Geen leerlingen';
+            const nav = document.getElementById('eigendomPaginering');
+            nav.innerHTML = '';
+            if (paginas <= 1) return;
+            const knop = (label, p, actief, titel) => {
+                const b = document.createElement('button');
+                b.type = 'button'; b.textContent = label; b.className = 'btn-sm ' + (actief ? 'btn-secondary' : 'btn-light');
+                if (titel) b.title = titel;
+                b.onclick = () => { pagina = p; toon(); };
+                nav.appendChild(b);
+            };
+            if (pagina > 1) { knop('«', 1, false, 'Eerste pagina'); knop('‹ Vorige', pagina - 1); }
+            for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+            if (pagina < paginas) { knop('Volgende ›', pagina + 1); knop('»', paginas, false, 'Laatste pagina'); }
+            const info = document.createElement('span');
+            info.className = 'muted small'; info.textContent = `pagina ${pagina} van ${paginas}`;
+            nav.appendChild(info);
+        }
+        document.querySelectorAll('th.sorteer').forEach(th => th.addEventListener('click', () => {
+            const k = +th.dataset.kol;
+            op = kol === k ? !op : true; kol = k;
+            document.querySelectorAll('th.sorteer').forEach(x => x.classList.remove('op', 'af'));
+            th.classList.add(op ? 'op' : 'af');
+            const rijen = Array.from(body.rows);
+            rijen.sort((a, b) => {
+                const x = a.cells[k].dataset.sort || '', y = b.cells[k].dataset.sort || '';
+                if (!x !== !y) return x ? -1 : 1;
+                const c = x.localeCompare(y, 'nl', { numeric: true, sensitivity: 'base' });
+                return op ? c : -c;
+            });
+            rijen.forEach(tr => body.appendChild(tr));
+            pagina = 1; toon();
+        }));
+        perPaginaKiezer(document.getElementById('eigendomPerPagina'), 'eigendom', n => { PER_PAGINA = n; pagina = 1; toon(); });
+        toon();
+    })();
+
+    function toggleColumn(columnClass) {
+        const checkbox = document.getElementById('toggle-' + columnClass.replace('col-', ''));
+        if (!checkbox) return;
+        const displayStyle = checkbox.checked ? 'table-cell' : 'none';
+        document.querySelectorAll('.' + columnClass).forEach(cell => { cell.style.display = displayStyle; });
+    }
+
+    // Laadscherm tonen en dubbelklikken voorkomen bij elk formulier
+    document.addEventListener('submit', function (e) {
+        if (e.target.closest('.app-header')) return;   // uitloggen niet blokkeren
+        showLoader();
+        document.querySelectorAll('button[type="submit"]').forEach(btn => { btn.disabled = true; });
+    });
+</script>
+{% endblock %}
diff --git a/templates/ipblokkade.html b/templates/ipblokkade.html
new file mode 100644
index 0000000..f6d4273
--- /dev/null
+++ b/templates/ipblokkade.html
@@ -0,0 +1,365 @@
+{% extends "base.html" %}
+
+{% block title %}IP-blokkades{% endblock %}
+{% block page_title %}IP-blokkades{% endblock %}
+
+{% block extra_css %}
+<style>
+    .ip-form { display: grid; grid-template-columns: 1.2fr 1fr 2fr auto; gap: 10px; align-items: end; }
+    .ip-form.met-school { grid-template-columns: 1.2fr 1fr 1.4fr 2fr auto; }
+    .ip-form .field { margin: 0; }
+    .ip-form .school-veld[hidden] { display: none; }
+    /* Keuzelijst met vinkjes voor één of meer scholen */
+    .schoolkiezer { position: relative; }
+    .schoolkiezer summary { list-style: none; cursor: pointer; padding: 9px 30px 9px 12px; border: 1px solid var(--border);
+        border-radius: var(--radius); background: var(--surface, #fff); white-space: nowrap; overflow: hidden; text-overflow: ellipsis;
+        position: relative; min-height: 20px; }
+    .schoolkiezer summary::-webkit-details-marker { display: none; }
+    .schoolkiezer summary::after { content: "▾"; position: absolute; right: 11px; top: 50%; transform: translateY(-50%); opacity: .6; }
+    .schoolkiezer[open] summary { border-color: var(--primary-color); }
+    .schoolkiezer .sk-lijst { position: absolute; z-index: 30; left: 0; top: calc(100% + 4px); min-width: 100%; width: max-content;
+        max-width: 380px; max-height: 300px; overflow: auto; background: var(--surface, #fff); border: 1px solid var(--border);
+        border-radius: var(--radius); box-shadow: 0 8px 24px rgba(15,23,42,.14); padding: 6px; }
+    .schoolkiezer .sk-zoek { width: 100%; margin-bottom: 6px; }
+    .schoolkiezer label { display: flex; gap: 8px; align-items: center; padding: 6px 8px; border-radius: 6px; cursor: pointer;
+        font-weight: 400; margin: 0; white-space: nowrap; }
+    .schoolkiezer label:hover { background: var(--surface-muted); }
+    .schoolkiezer label input { width: auto; margin: 0; }
+    .schoolkiezer .sk-acties { display: flex; justify-content: space-between; gap: 8px; padding: 6px 4px 2px; border-top: 1px solid var(--border); margin-top: 4px; }
+    .schoolkiezer .sk-acties button { all: unset; cursor: pointer; color: var(--primary-color); font-size: .88em; }
+    .chip { display: inline-block; padding: 2px 9px; margin: 2px 4px 2px 0; border-radius: 999px; background: var(--surface-muted);
+        border: 1px solid var(--border); font-size: .88em; white-space: nowrap; }
+    /* Bewerken in de tabel "Altijd toestaan" */
+    tr .bew { display: none; }
+    tr.bewerken .bew { display: block; }
+    tr.bewerken .toon { display: none; }
+    tr.bewerken td { background: var(--surface-muted); vertical-align: top; }
+    tr.bewerken td.actions .bew { display: flex; flex-direction: column; gap: 6px; align-items: stretch; }
+    tr.bewerken td.actions .bew button { width: 100%; white-space: nowrap; }
+    tr .bew input[type=text] { width: 100%; min-width: 120px; }
+    tr.bewerken .schoolkiezer { min-width: 200px; max-width: 280px; }
+    tr.bewerken .schoolkiezer label { white-space: normal; }
+    tr.bewerken .schoolkiezer .sk-lijst { position: static; box-shadow: none; max-width: none; width: auto; margin-top: 4px; }
+    .ip-tabel[data-sleutel="toe"] tbody tr:not(.bewerken):not(.empty-row) td:not(.actions) { cursor: text; }
+    .acties-rij { display: inline-flex; gap: 6px; }
+    @media (max-width: 760px) { .ip-form { grid-template-columns: 1fr; } }
+    .mijn-ip { display: inline-flex; gap: 8px; align-items: center; padding: 6px 12px; border-radius: 999px;
+               background: var(--surface-muted); border: 1px solid var(--border); font-size: .92em; }
+    td.mono, .mono { font-family: ui-monospace, SFMono-Regular, Menlo, monospace; }
+    .test-form { display: flex; flex-wrap: wrap; gap: 10px; align-items: center; }
+    .test-form input { flex: 1 1 220px; max-width: 320px; }
+    .modus { display: flex; flex-wrap: wrap; gap: 14px; align-items: center; justify-content: space-between;
+             padding: 14px 16px; border: 1px solid var(--border); border-radius: var(--radius); margin-top: 16px; }
+    .modus.aan { border-color: var(--danger-text); background: var(--danger-bg); }
+    .modus strong { display: block; }
+    .schakelaar { display: inline-flex; align-items: center; gap: 10px; cursor: pointer; font-weight: 600; }
+    .schakelaar .spoor { width: 44px; height: 24px; border-radius: 999px; background: #cbd5e1; position: relative; transition: background .15s; flex-shrink: 0; }
+    .schakelaar .spoor::after { content: ""; position: absolute; top: 3px; left: 3px; width: 18px; height: 18px; border-radius: 50%;
+                                 background: #fff; transition: transform .15s; box-shadow: 0 1px 2px rgba(0,0,0,.25); }
+    .schakelaar.aan .spoor { background: var(--danger-text); }
+    .schakelaar.aan .spoor::after { transform: translateX(20px); }
+    .schakelaar button { all: unset; display: inline-flex; align-items: center; gap: 10px; cursor: pointer; }
+    .schakelaar button:focus-visible .spoor { outline: 2px solid var(--primary-color); outline-offset: 2px; }
+    .tabel-zoek { margin-bottom: 10px; max-width: 360px; }
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+</style>
+{% endblock %}
+
+{% macro schoolkiezer(gekozen=[], formid='') %}
+<details class="schoolkiezer">
+    <summary class="sk-tekst" data-leeg="— geen school —">— geen school —</summary>
+    <div class="sk-lijst">
+        {% if scholen|length > 8 %}<input type="search" class="sk-zoek" placeholder="Zoek een school..." aria-label="Zoek een school">{% endif %}
+        {% for s in scholen %}
+        <label><input type="checkbox" name="scholen" value="{{ s.code }}" data-naam="{{ s.naam }}"{% if formid %} form="{{ formid }}"{% endif %}{{ ' checked' if s.code in gekozen }}>
+            {{ s.naam }}{% if not s.actief %} <span class="muted small">(inactief)</span>{% endif %}</label>
+        {% else %}
+        <div class="muted small" style="padding:6px 8px">Er zijn nog geen scholen.</div>
+        {% endfor %}
+        {% if scholen %}<div class="sk-acties"><button type="button" class="sk-alles">Alles aanvinken</button><button type="button" class="sk-geen">Niets</button></div>{% endif %}
+    </div>
+</details>
+{% endmacro %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>🚫 IP-blokkades</h2>
+        <span class="mijn-ip">Jouw IP-adres: <strong class="mono">{{ mijn_ip }}</strong></span>
+    </div>
+    <p class="field-hint" style="margin-top:-6px">Geldt voor alle scholen. Een geblokkeerd adres krijgt bij elke aanvraag
+        "Toegang geweigerd", ook op de loginpagina. Een adres bij <em>Altijd toestaan</em> mag altijd, ook als het in een
+        geblokkeerde reeks valt.</p>
+
+    <form method="POST" action="{{ url_for('ipblokkade.toevoegen') }}" class="ip-form">
+        <div class="field">
+            <label for="reeks">IP-adres of reeks</label>
+            <input type="text" id="reeks" name="reeks" required class="mono" placeholder="bv. 85.  of  85.12.3.4  of  85.0.0.0/8">
+        </div>
+        <div class="field">
+            <label for="soort">Soort</label>
+            <select id="soort" name="soort">
+                <option value="blokkeren">🚫 Blokkeren</option>
+                <option value="toestaan">✅ Altijd toestaan</option>
+            </select>
+        </div>
+        <div class="field school-veld" hidden>
+            <label>School(s)</label>
+            {{ schoolkiezer() }}
+        </div>
+        <div class="field">
+            <label for="opmerking">Opmerking</label>
+            <input type="text" id="opmerking" name="opmerking" maxlength="255" placeholder="Waarom? (optioneel)">
+        </div>
+        <button type="submit">➕ Toevoegen</button>
+    </form>
+
+    {% if lokaal %}
+    <div class="alert alert-warning" style="margin:16px 0 0">PIVOT ziet jouw adres als <strong class="mono">{{ mijn_ip }}</strong>.
+        Waarschijnlijk draait PIVOT achter een reverse proxy, en dan lijkt elke bezoeker van dat adres te komen. Zet in
+        <code>config.ini › [algemeen] proxy_aantal = 1</code> en herstart PIVOT, anders werken de IP-regels niet zoals bedoeld.</div>
+    {% endif %}
+
+    <div class="modus {{ 'aan' if enkel_toegestaan }}">
+        <div>
+            <strong>Enkel "Altijd toestaan" binnenlaten</strong>
+            <span class="muted small">
+                {% if enkel_toegestaan %}Staat <b>aan</b>: elk adres dat niet bij Altijd toestaan staat, wordt geweigerd
+                    ({{ modus_geweigerd }} keer sinds de teller begon){% if modus and modus.Door %} · aangezet door {{ modus.Door }}{% endif %}.
+                {% else %}Staat uit: iedereen mag binnen, behalve de geblokkeerde adressen.{% endif %}
+            </span>
+        </div>
+        <form method="POST" action="{{ url_for('ipblokkade.modus') }}" style="margin:0"
+              onsubmit="return confirm({{ ("Iedereen weer binnenlaten (behalve de geblokkeerde adressen)?" if enkel_toegestaan else "Enkel nog adressen uit 'Altijd toestaan' binnenlaten? Iedereen anders krijgt 'Toegang geweigerd', ook op de loginpagina.")|tojson|forceescape }})">
+            <input type="hidden" name="aan" value="{{ '0' if enkel_toegestaan else '1' }}">
+            <span class="schakelaar {{ 'aan' if enkel_toegestaan }}">
+                <button type="submit" role="switch" aria-checked="{{ 'true' if enkel_toegestaan else 'false' }}">
+                    <span class="spoor"></span> {{ 'Aan' if enkel_toegestaan else 'Uit' }}
+                </button>
+            </span>
+        </form>
+    </div>
+</div>
+
+{% for titel, lijst, leeg, sleutel in (('🚫 Geblokkeerd', blokkeren, 'Er is nog niets geblokkeerd.', 'blok'),
+                                        ('✅ Altijd toestaan', toestaan, 'Geen uitzonderingen.', 'toe')) %}
+<div class="card ip-tabel" data-sleutel="{{ sleutel }}">
+    <div style="display:flex; align-items:center; justify-content:space-between; gap:10px; flex-wrap:wrap;">
+        <h2 class="card-title">{{ titel }} <span class="muted small">({{ lijst|length }})</span></h2>
+        {% if sleutel == 'blok' and lijst %}
+        <form method="post" action="{{ url_for('ipblokkade.leegmaken') }}" style="margin:0;"
+              onsubmit="return confirm({{ ('Alle ' ~ (lijst|length) ~ ' geblokkeerde regel' ~ ('s' if lijst|length != 1 else '') ~ ' verwijderen? De lijst \'Altijd toestaan\' blijft ongewijzigd.')|tojson|forceescape }})">
+            <button type="submit" class="btn-sm btn-danger">🗑️ Bloklijst leegmaken</button>
+        </form>
+        {% endif %}
+    </div>
+    {% if lijst|length > 10 %}<input type="search" class="tabel-zoek" placeholder="Zoek een reeks{{ ', school' if sleutel == 'toe' }} of opmerking..." aria-label="Zoeken in {{ titel }}">{% endif %}
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr>
+                    <th class="sorteer" data-tekst>Reeks <span class="pijl"></span></th>
+                    {% if sleutel == 'toe' %}<th class="sorteer" data-tekst>School <span class="pijl"></span></th>{% endif %}
+                    <th class="sorteer" data-tekst>Opmerking <span class="pijl"></span></th>
+                    <th class="sorteer">Toegevoegd <span class="pijl"></span></th>
+                    {% if lijst is sameas blokkeren %}<th class="sorteer text-right">Geweigerd <span class="pijl"></span></th>
+                    <th class="sorteer">Laatst geweigerd <span class="pijl"></span></th>{% endif %}
+                    <th class="actions"></th>
+                </tr>
+            </thead>
+            <tbody>
+            {% for r in lijst %}
+                {% set bf = 'bew-' ~ r.ID %}
+                <tr data-id="{{ r.ID }}">
+                    {% if sleutel == 'toe' %}
+                    <td class="mono" data-sort="{{ r.Sorteer }}"><span class="toon"><strong>{{ r.Reeks }}</strong></span>
+                        <span class="bew"><input type="text" name="reeks" form="{{ bf }}" value="{{ r.Reeks }}" required class="mono" aria-label="Reeks"></span></td>
+                    <td data-sort="{{ r.Scholen_namen|join(', ') }}"><span class="toon">{% for n in r.Scholen_namen %}<span class="chip">{{ n }}</span>{% else %}<span class="muted">–</span>{% endfor %}</span>
+                        <span class="bew">{{ schoolkiezer(r.Scholen_codes, bf) }}</span></td>
+                    <td data-sort="{{ r.Opmerking or '' }}"><span class="toon">{{ r.Opmerking or '' }}</span>
+                        <span class="bew"><input type="text" name="opmerking" form="{{ bf }}" value="{{ r.Opmerking or '' }}" maxlength="255" placeholder="Opmerking" aria-label="Opmerking"></span></td>
+                    {% else %}
+                    <td class="mono" data-sort="{{ r.Sorteer }}"><strong>{{ r.Reeks }}</strong></td>
+                    <td data-sort="{{ r.Opmerking or '' }}">{{ r.Opmerking or '' }}</td>
+                    {% endif %}
+                    <td class="muted small" data-sort="{{ r.Aangemaakt.isoformat() }}">{{ r.Aangemaakt.strftime('%d-%m-%Y %H:%M') }}{% if r.Door %} · {{ r.Door }}{% endif %}</td>
+                    {% if lijst is sameas blokkeren %}
+                    <td class="text-right" data-sort="{{ '%010d'|format(r.Aantal_geweigerd) }}">{{ r.Aantal_geweigerd }}</td>
+                    <td class="muted small" data-sort="{{ r.Laatst_geweigerd.isoformat() if r.Laatst_geweigerd else '' }}">{{ r.Laatst_geweigerd.strftime('%d-%m-%Y %H:%M') if r.Laatst_geweigerd else '–' }}</td>
+                    {% endif %}
+                    <td class="actions">
+                        <span class="toon acties-rij">
+                        {% if sleutel == 'toe' %}<button type="button" class="btn-sm btn-ghost start-bew">✏️ Bewerken</button>{% endif %}
+                        <form method="POST" action="{{ url_for('ipblokkade.verwijderen', regel_id=r.ID) }}" style="margin:0"
+                              onsubmit="return confirm({{ (r.Reeks ~ ' uit de lijst verwijderen?')|tojson|forceescape }})">
+                            <button type="submit" class="btn-sm btn-ghost">🗑️ Verwijderen</button>
+                        </form>
+                        </span>
+                        {% if sleutel == 'toe' %}
+                        <span class="bew">
+                            <form id="{{ bf }}" method="POST" action="{{ url_for('ipblokkade.bewerken', regel_id=r.ID) }}" style="margin:0">
+                                <button type="submit" class="btn-sm">💾 Opslaan</button>
+                            </form>
+                            <button type="button" class="btn-sm btn-light stop-bew">Annuleren</button>
+                        </span>
+                        {% endif %}
+                    </td>
+                </tr>
+            {% else %}
+                <tr class="empty-row"><td colspan="6">{{ leeg }}</td></tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+    {% if lijst %}
+    <div class="tabel-voet">
+        <div style="display:flex;align-items:center;gap:14px;flex-wrap:wrap">
+            <div class="muted small teller"></div>
+            <span class="per-pagina-plek"></span>
+        </div>
+        <nav class="paginering" aria-label="Pagina's"></nav>
+    </div>
+    {% endif %}
+</div>
+{% endfor %}
+
+<div class="card">
+    <h2 class="card-title">🔎 Een adres testen</h2>
+    <form method="GET" action="{{ url_for('ipblokkade.overzicht') }}" class="test-form">
+        <input type="text" name="test" class="mono" placeholder="bv. 85.12.3.4" value="{{ test.ip if test else '' }}">
+        <button type="submit" class="btn-secondary">Testen</button>
+        {% if test %}
+            {% if test.geweigerd %}
+            <span class="badge badge-danger">🚫 Geweigerd door {{ test.regel.Reeks if test.regel else 'een regel' }}</span>
+            {% else %}
+            <span class="badge badge-success">✅ Toegelaten</span>
+            {% endif %}
+        {% endif %}
+    </form>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    // Keuzelijst met vinkjes: tekst bovenaan = gekozen scholen
+    function skTekst(sk) {
+        const namen = Array.from(sk.querySelectorAll('input[type=checkbox]:checked')).map(c => c.dataset.naam);
+        const t = sk.querySelector('.sk-tekst');
+        t.textContent = !namen.length ? t.dataset.leeg : namen.length <= 2 ? namen.join(', ') : `${namen.length} scholen`;
+        t.title = namen.join('\n');
+    }
+    document.querySelectorAll('.schoolkiezer').forEach(sk => {
+        skTekst(sk);
+        sk.addEventListener('change', () => skTekst(sk));
+        const zoek = sk.querySelector('.sk-zoek');
+        if (zoek) zoek.addEventListener('keydown', e => { if (e.key === 'Enter') e.preventDefault(); });
+        if (zoek) zoek.addEventListener('input', () => {
+            const q = zoek.value.trim().toLowerCase();
+            sk.querySelectorAll('label').forEach(l => l.style.display = l.textContent.toLowerCase().includes(q) ? '' : 'none');
+        });
+        sk.querySelector('.sk-alles')?.addEventListener('click', () => {
+            sk.querySelectorAll('label').forEach(l => { if (l.style.display !== 'none') l.querySelector('input').checked = true; });
+            skTekst(sk);
+        });
+        sk.querySelector('.sk-geen')?.addEventListener('click', () => {
+            sk.querySelectorAll('input[type=checkbox]').forEach(c => c.checked = false); skTekst(sk);
+        });
+        sk.addEventListener('toggle', () => { if (sk.open && zoek) zoek.focus(); });
+    });
+    // Klik buiten een open keuzelijst = dichtklappen
+    document.addEventListener('click', e => {
+        document.querySelectorAll('.schoolkiezer[open]').forEach(sk => { if (!sk.contains(e.target)) sk.open = false; });
+    });
+    // Tabel "Altijd toestaan" bewerken: ✏️ of dubbelklik op een rij; Esc = annuleren, Enter = opslaan
+    function stopBewerken(tr) {
+        const f = document.getElementById('bew-' + tr.dataset.id);
+        if (f) f.reset();
+        tr.classList.remove('bewerken');
+        tr.querySelectorAll('.schoolkiezer').forEach(sk => { sk.open = false; skTekst(sk); });
+    }
+    function startBewerken(tr) {
+        document.querySelectorAll('tr.bewerken').forEach(stopBewerken);
+        tr.classList.add('bewerken');
+        const veld = tr.querySelector('.bew input[name=reeks]');
+        if (veld) { veld.focus(); veld.select(); }
+    }
+    document.querySelectorAll('.ip-tabel[data-sleutel="toe"] tbody tr[data-id]').forEach(tr => {
+        tr.querySelector('.start-bew')?.addEventListener('click', () => startBewerken(tr));
+        tr.querySelector('.stop-bew')?.addEventListener('click', () => stopBewerken(tr));
+        tr.addEventListener('dblclick', e => {
+            if (!tr.classList.contains('bewerken') && !e.target.closest('td.actions')) startBewerken(tr);
+        });
+        tr.addEventListener('keydown', e => { if (e.key === 'Escape') stopBewerken(tr); });
+    });
+
+    // Schoolkeuze enkel tonen bij "Altijd toestaan"
+    (function () {
+        const soort = document.getElementById('soort'), veld = document.querySelector('.school-veld');
+        if (!soort || !veld) return;
+        const pas = () => {
+            const toe = soort.value === 'toestaan';
+            veld.hidden = !toe;
+            veld.closest('form').classList.toggle('met-school', toe);
+            if (!toe) veld.querySelectorAll('input[type=checkbox]').forEach(c => c.checked = false);
+            veld.querySelectorAll('.schoolkiezer').forEach(skTekst);
+        };
+        soort.addEventListener('change', pas); pas();
+    })();
+    // Zoeken en pagineren per tabel (Geblokkeerd / Altijd toestaan)
+    document.querySelectorAll('.ip-tabel').forEach(kaart => {
+        const body = kaart.querySelector('tbody');
+        if (!body || body.querySelector('.empty-row')) return;
+        const sleutel = 'ip-' + kaart.dataset.sleutel;
+        let PER_PAGINA = perPagina(sleutel), pagina = 1, zoek = '';
+        const zoekveld = kaart.querySelector('.tabel-zoek');
+        function toon() {
+            const tekst = tr => Array.from(tr.cells).map(td => (td.querySelector('.toon') || td).textContent).join(' ').toLowerCase();
+            const rijen = Array.from(body.rows).filter(tr => !zoek || tekst(tr).includes(zoek));
+            const grootte = PER_PAGINA || Infinity, paginas = Math.max(1, Math.ceil(rijen.length / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER_PAGINA ? (pagina - 1) * PER_PAGINA : 0, tot = van + grootte;
+            Array.from(body.rows).forEach(tr => tr.style.display = 'none');
+            rijen.forEach((tr, i) => tr.style.display = (i >= van && i < tot) ? '' : 'none');
+            kaart.querySelector('.teller').textContent = rijen.length
+                ? `${van + 1}–${Math.min(tot, rijen.length)} van ${rijen.length}` : 'Niets gevonden';
+            const nav = kaart.querySelector('.paginering');
+            nav.innerHTML = '';
+            if (paginas <= 1) return;
+            const knop = (label, p, actief) => {
+                const b = document.createElement('button');
+                b.type = 'button'; b.textContent = label; b.className = 'btn-sm ' + (actief ? 'btn-secondary' : 'btn-light');
+                b.onclick = () => { pagina = p; toon(); };
+                nav.appendChild(b);
+            };
+            if (pagina > 1) { knop('«', 1); knop('‹ Vorige', pagina - 1); }
+            for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+            if (pagina < paginas) { knop('Volgende ›', pagina + 1); knop('»', paginas); }
+        }
+        if (zoekveld) zoekveld.addEventListener('input', () => { zoek = zoekveld.value.trim().toLowerCase(); pagina = 1; toon(); });
+        // Sorteren: klik op een kolomkop (nog eens klikken = omgekeerd). Aantallen en datums: eerst hoog/nieuw.
+        let kol = null, op = true;
+        kaart.querySelectorAll('th.sorteer').forEach(th => th.addEventListener('click', () => {
+            const k = th.cellIndex;
+            op = kol === k ? !op : 'tekst' in th.dataset;
+            kol = k;
+            kaart.querySelectorAll('th.sorteer').forEach(x => x.classList.remove('op', 'af'));
+            th.classList.add(op ? 'op' : 'af');
+            Array.from(body.rows).sort((a, b) => {
+                const x = a.cells[k].dataset.sort || '', y = b.cells[k].dataset.sort || '';
+                if (!x !== !y) return x ? -1 : 1;                  // lege waarden altijd onderaan
+                const c = x.localeCompare(y, 'nl', { numeric: true, sensitivity: 'base' });
+                return op ? c : -c;
+            }).forEach(tr => body.appendChild(tr));
+            pagina = 1; toon();
+        }));
+        perPaginaKiezer(kaart.querySelector('.per-pagina-plek'), sleutel, n => { PER_PAGINA = n; pagina = 1; toon(); });
+        toon();
+    });
+</script>
+{% endblock %}
diff --git a/templates/ipblokkade_school.html b/templates/ipblokkade_school.html
new file mode 100644
index 0000000..bc4b786
--- /dev/null
+++ b/templates/ipblokkade_school.html
@@ -0,0 +1,143 @@
+{% extends "base.html" %}
+
+{% block title %}Toegestane IP-adressen{% endblock %}
+{% block page_title %}Toegestane IP-adressen{% endblock %}
+
+{% block extra_css %}
+<style>
+    .ip-form { display: flex; flex-wrap: wrap; gap: 10px; align-items: end; }
+    .ip-form .field { margin: 0; flex: 0 1 340px; }
+    .mijn-ip { display: inline-flex; gap: 8px; align-items: center; padding: 6px 12px; border-radius: 999px;
+               background: var(--surface-muted); border: 1px solid var(--border); font-size: .92em; }
+    .mijn-ip button { all: unset; cursor: pointer; color: var(--primary-color); font-size: .9em; }
+    .mono, td.mono { font-family: ui-monospace, SFMono-Regular, Menlo, monospace; }
+    .tabel-zoek { margin-bottom: 10px; max-width: 360px; }
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>✅ Toegestane IP-adressen · {{ school_naam }}</h2>
+        <span class="mijn-ip">Jouw IP-adres: <strong class="mono">{{ mijn_ip }}</strong>
+            {% if not lokaal %}<button type="button" id="gebruikMijnIp" title="Invullen in het veld hieronder">invullen</button>{% endif %}</span>
+    </div>
+    <p class="field-hint" style="margin-top:-6px">Een adres in deze lijst mag PIVOT altijd openen. Je voegt het toe voor
+        {{ school_naam }}, met jouw naam ({{ naam }}) als opmerking. Je kan enkel de adressen verwijderen die je zelf toegevoegd hebt.</p>
+
+    <form method="POST" action="{{ url_for('ipblokkade.toevoegen') }}" class="ip-form">
+        <div class="field">
+            <label for="reeks">IP-adres</label>
+            <input type="text" id="reeks" name="reeks" required class="mono" placeholder="bv. 85.12.3.4" autocomplete="off">
+        </div>
+        <button type="submit">➕ Toevoegen</button>
+    </form>
+</div>
+
+<div class="card ip-tabel" data-sleutel="school">
+    <h2 class="card-title">Lijst <span class="muted small">({{ rijen|length }})</span></h2>
+    {% if rijen|length > 10 %}<input type="search" class="tabel-zoek" placeholder="Zoek een adres of naam..." aria-label="Zoeken">{% endif %}
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr>
+                    <th class="sorteer" data-tekst>IP-adres <span class="pijl"></span></th>
+                    <th class="sorteer" data-tekst>Opmerking <span class="pijl"></span></th>
+                    <th class="sorteer">Toegevoegd <span class="pijl"></span></th>
+                    <th class="actions"></th>
+                </tr>
+            </thead>
+            <tbody>
+            {% for r in rijen %}
+                <tr>
+                    <td class="mono" data-sort="{{ r.Sorteer }}"><strong>{{ r.Reeks }}</strong></td>
+                    <td data-sort="{{ r.Opmerking or '' }}">{{ r.Opmerking or '' }}</td>
+                    <td class="muted small" data-sort="{{ r.Aangemaakt.isoformat() }}">{{ r.Aangemaakt.strftime('%d-%m-%Y %H:%M') }}</td>
+                    <td class="actions">
+                        {% if r.Eigen %}
+                        <form method="POST" action="{{ url_for('ipblokkade.verwijderen', regel_id=r.ID) }}" style="margin:0"
+                              onsubmit="return confirm({{ (r.Reeks ~ ' uit de lijst verwijderen?')|tojson|forceescape }})">
+                            <button type="submit" class="btn-sm btn-ghost">🗑️ Verwijderen</button>
+                        </form>
+                        {% endif %}
+                    </td>
+                </tr>
+            {% else %}
+                <tr class="empty-row"><td colspan="4">Er zijn nog geen toegestane adressen voor {{ school_naam }}.</td></tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+    {% if rijen %}
+    <div class="tabel-voet">
+        <div style="display:flex;align-items:center;gap:14px;flex-wrap:wrap">
+            <div class="muted small teller"></div>
+            <span class="per-pagina-plek"></span>
+        </div>
+        <nav class="paginering" aria-label="Pagina's"></nav>
+    </div>
+    {% endif %}
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    document.getElementById('gebruikMijnIp')?.addEventListener('click', () => {
+        const v = document.getElementById('reeks'); v.value = {{ mijn_ip|tojson }}; v.focus();
+    });
+    document.querySelectorAll('.ip-tabel').forEach(kaart => {
+        const body = kaart.querySelector('tbody');
+        if (!body || body.querySelector('.empty-row')) return;
+        const sleutel = 'ip-' + kaart.dataset.sleutel;
+        let PER_PAGINA = perPagina(sleutel), pagina = 1, zoek = '';
+        const zoekveld = kaart.querySelector('.tabel-zoek');
+        function toon() {
+            const rijen = Array.from(body.rows).filter(tr => !zoek || tr.textContent.toLowerCase().includes(zoek));
+            const grootte = PER_PAGINA || Infinity, paginas = Math.max(1, Math.ceil(rijen.length / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER_PAGINA ? (pagina - 1) * PER_PAGINA : 0, tot = van + grootte;
+            Array.from(body.rows).forEach(tr => tr.style.display = 'none');
+            rijen.forEach((tr, i) => tr.style.display = (i >= van && i < tot) ? '' : 'none');
+            kaart.querySelector('.teller').textContent = rijen.length
+                ? `${van + 1}–${Math.min(tot, rijen.length)} van ${rijen.length}` : 'Niets gevonden';
+            const nav = kaart.querySelector('.paginering');
+            nav.innerHTML = '';
+            if (paginas <= 1) return;
+            const knop = (label, p, actief) => {
+                const b = document.createElement('button');
+                b.type = 'button'; b.textContent = label; b.className = 'btn-sm ' + (actief ? 'btn-secondary' : 'btn-light');
+                b.onclick = () => { pagina = p; toon(); };
+                nav.appendChild(b);
+            };
+            if (pagina > 1) { knop('«', 1); knop('‹ Vorige', pagina - 1); }
+            for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+            if (pagina < paginas) { knop('Volgende ›', pagina + 1); knop('»', paginas); }
+        }
+        if (zoekveld) zoekveld.addEventListener('input', () => { zoek = zoekveld.value.trim().toLowerCase(); pagina = 1; toon(); });
+        let kol = null, op = true;
+        kaart.querySelectorAll('th.sorteer').forEach(th => th.addEventListener('click', () => {
+            const k = th.cellIndex;
+            op = kol === k ? !op : 'tekst' in th.dataset;
+            kol = k;
+            kaart.querySelectorAll('th.sorteer').forEach(x => x.classList.remove('op', 'af'));
+            th.classList.add(op ? 'op' : 'af');
+            Array.from(body.rows).sort((a, b) => {
+                const x = a.cells[k].dataset.sort || '', y = b.cells[k].dataset.sort || '';
+                if (!x !== !y) return x ? -1 : 1;
+                const c = x.localeCompare(y, 'nl', { numeric: true, sensitivity: 'base' });
+                return op ? c : -c;
+            }).forEach(tr => body.appendChild(tr));
+            pagina = 1; toon();
+        }));
+        perPaginaKiezer(kaart.querySelector('.per-pagina-plek'), sleutel, n => { PER_PAGINA = n; pagina = 1; toon(); });
+        toon();
+    });
+</script>
+{% endblock %}
diff --git a/templates/laatkomers.html b/templates/laatkomers.html
new file mode 100644
index 0000000..85bc248
--- /dev/null
+++ b/templates/laatkomers.html
@@ -0,0 +1,231 @@
+{% extends "base.html" %}
+
+{% block title %}Laatkomers{% endblock %}
+{% block page_title %}Laatkomers{% endblock %}
+
+{% block extra_css %}
+<style>
+    .stats { display: grid; grid-template-columns: repeat(auto-fit, minmax(190px, 1fr)); gap: 16px; margin-bottom: 20px; }
+    .stat { padding: 18px 20px; }
+    .stat + .stat { margin-top: 0; }
+    .stat .val { font-size: 28px; font-weight: 800; line-height: 1.1; font-variant-numeric: tabular-nums; }
+    .stat .lbl { font-size: 12px; color: var(--text-muted); text-transform: uppercase; letter-spacing: .04em; font-weight: 600; margin-top: 4px; }
+    .stat .sub { font-size: 13px; color: var(--text-muted); }
+    .sync-bar { display: flex; flex-wrap: wrap; align-items: center; gap: 10px; }
+    .progress { flex: 1 1 200px; height: 8px; background: var(--surface-muted); border: 1px solid var(--border); border-radius: 999px; overflow: hidden; }
+    .progress > span { display: block; height: 100%; width: 0; background: var(--primary-color); transition: width .4s; }
+    .periode { display: flex; flex-wrap: wrap; gap: 10px; align-items: flex-end; }
+    .periode .field { margin: 0; }
+    .zoekbalk { display: flex; flex-wrap: wrap; gap: 10px; align-items: center; margin-bottom: 12px; }
+    .zoekbalk input[type=search] { flex: 1 1 260px; }
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+    .count-badge { display: inline-block; min-width: 34px; text-align: center; padding: 3px 10px; border-radius: 999px; font-weight: 700;
+                   background: var(--warning-bg); color: var(--warning-text); font-variant-numeric: tabular-nums; }
+    .count-badge.veel { background: var(--danger-bg); color: var(--danger-text); }
+    details.data summary { cursor: pointer; color: var(--primary-color); font-size: .9em; }
+    .day-chips { display: flex; flex-wrap: wrap; gap: 6px; margin-top: 8px; max-width: 520px; }
+    .day-chip { display: inline-flex; gap: 6px; align-items: center; padding: 3px 9px; border-radius: 999px; background: var(--surface);
+                border: 1px solid var(--border); font-size: 12.5px; white-space: nowrap; }
+    .day-chip .dd { font-weight: 700; color: var(--warning-text); }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+    td.nowrap { white-space: nowrap; }
+</style>
+{% endblock %}
+
+{% block content %}
+{# ---------- Kerncijfers ---------- #}
+<div class="stats">
+    <div class="card stat">
+        <div class="val">{{ rows|length }}</div>
+        <div class="lbl">Leerlingen te laat</div>
+    </div>
+    <div class="card stat">
+        <div class="val">{{ totaal }}</div>
+        <div class="lbl">Keer te laat</div>
+        {% if rows %}<div class="sub">gem. {{ '%.1f'|format(totaal / rows|length) }} per leerling</div>{% endif %}
+    </div>
+    <div class="card stat">
+        <div class="val" style="font-size:18px; padding-top:6px">
+            {% if laatste.m %}{{ laatste.m.strftime('%d-%m-%Y %H:%M') }}{% else %}Nog nooit{% endif %}
+        </div>
+        <div class="lbl">Laatst gesynchroniseerd</div>
+        <div class="sub">Automatisch elke ochtend</div>
+    </div>
+</div>
+
+{% if fout %}<div class="flash-message error"><span>{{ fout }}</span></div>{% endif %}
+{% if not codes %}
+<div class="alert alert-warning">Er zijn geen codes voor "te laat" ingesteld. Vul ze in bij 🔌 Koppelingen › Smartschool › <em>Codes voor te laat</em>.</div>
+{% endif %}
+
+{# ---------- Synchronisatie en periode ---------- #}
+<div class="card">
+    <div class="sync-bar">
+        <form method="POST" action="{{ url_for('afwezigheden.sync', van=f.van.isoformat(), tot=f.tot.isoformat()) }}" style="margin:0">
+            <input type="hidden" name="terug" value="laatkomers">
+            <button type="submit" class="btn-secondary" id="syncBtn" {% if status.bezig %}disabled{% endif %}>🔄 Nu synchroniseren</button>
+        </form>
+        <form method="POST" action="{{ url_for('afwezigheden.sync', van=f.van.isoformat(), tot=f.tot.isoformat()) }}" style="margin:0"
+              onsubmit="return confirm('Alle schooldagen van dit schooljaar opnieuw ophalen uit Smartschool? Dit duurt enkele minuten.')">
+            <input type="hidden" name="terug" value="laatkomers">
+            <input type="hidden" name="volledig" value="1">
+            <button type="submit" class="btn-light" {% if status.bezig %}disabled{% endif %}
+                    title="Nodig de eerste keer: vroeger opgehaalde dagen bevatten de codes voor te laat nog niet">⏮ Heel schooljaar opnieuw ophalen</button>
+        </form>
+        <div class="progress {% if not status.bezig %}hidden{% endif %}" id="syncProgress"><span id="syncProgressBar"></span></div>
+        <span class="muted small" id="syncText">
+            {% if status.bezig %}Bezig…{% elif status.laatste_resultaat %}{{ status.laatste_resultaat }}{% endif %}
+        </span>
+    </div>
+    <form method="GET" action="{{ url_for('afwezigheden.laatkomers') }}" class="periode" style="margin-top:14px">
+        <div class="field">
+            <label for="van">Van</label>
+            <input type="date" id="van" name="van" value="{{ f.van.isoformat() }}">
+        </div>
+        <div class="field">
+            <label for="tot">Tot en met</label>
+            <input type="date" id="tot" name="tot" value="{{ f.tot.isoformat() }}">
+        </div>
+        <button type="submit">Toon periode</button>
+    </form>
+</div>
+
+{# ---------- Tabel ---------- #}
+<div class="card">
+    <div class="zoekbalk">
+        <input type="search" id="zoek" placeholder="Zoek een leerling op naam, gebruikersnaam of internnummer..." aria-label="Zoek een leerling">
+    </div>
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr>
+                    <th class="sorteer" data-kol="0">Leerling <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="1">Internnummer <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="2">Aantal keer te laat <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="3">Laatst te laat <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="4">Eerst te laat <span class="pijl"></span></th>
+                    <th>Data</th>
+                </tr>
+            </thead>
+            <tbody id="laatBody">
+            {% for r in rows %}
+                <tr data-zoek="{{ [r.Voornaam, r.Naam, r.Gebruikersnaam, r.Internnummer]|select|join(' ')|lower }}">
+                    <td data-sort="{{ (r.Naam or '') ~ ' ' ~ (r.Voornaam or '') }}">
+                        {% if r.Naam or r.Voornaam %}<strong>{{ r.Naam }}</strong> {{ r.Voornaam }}{% else %}<span class="muted">Onbekende leerling</span>{% endif %}
+                    </td>
+                    <td class="mono" data-sort="{{ r.Internnummer }}">{{ r.Internnummer }}</td>
+                    <td data-sort="{{ '%05d'|format(r.Aantal) }}"><span class="count-badge {{ 'veel' if r.Aantal >= 5 }}">{{ r.Aantal }}</span></td>
+                    <td class="nowrap" data-sort="{{ r.Laatste.isoformat() }}">{{ r.Laatste.strftime('%d-%m-%Y') }}</td>
+                    <td class="nowrap" data-sort="{{ r.Eerste.isoformat() }}">{{ r.Eerste.strftime('%d-%m-%Y') }}</td>
+                    <td>
+                        <details class="data"><summary>Toon {{ r.Data|length }}</summary>
+                            <div class="day-chips">
+                                {% for d, dd in r.Data %}<span class="day-chip">{{ ['ma','di','wo','do','vr','za','zo'][d.weekday()] }} {{ d.strftime('%d-%m') }} <span class="dd">{{ dd }}</span></span>{% endfor %}
+                            </div>
+                        </details>
+                    </td>
+                </tr>
+            {% else %}
+                <tr class="empty-row"><td colspan="6">Geen laatkomers in deze periode{% if not laatste.m %} (er is nog niets opgehaald uit Smartschool){% endif %}.</td></tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+    <div class="tabel-voet">
+        <div style="display:flex;align-items:center;gap:14px;flex-wrap:wrap">
+            <div class="muted small" id="teller"></div>
+            <span id="perPagina"></span>
+        </div>
+        <nav class="paginering" id="paginering" aria-label="Pagina's"></nav>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    // Zoeken, sorteren (klik op een kolomkop) en pagineren in de browser
+    (function () {
+        const body = document.getElementById('laatBody');
+        if (!body || body.querySelector('.empty-row')) return;
+        let PER_PAGINA = perPagina('laatkomers');
+        let pagina = 1, kol = 2, op = false, zoek = '';
+        document.querySelector('th.sorteer[data-kol="2"]').classList.add('af');   // standaard: meest te laat bovenaan
+
+        const zichtbaar = () => Array.from(body.rows).filter(tr => !zoek || tr.dataset.zoek.includes(zoek));
+        function toon() {
+            const rijen = zichtbaar();
+            const grootte = PER_PAGINA || Infinity;
+            const paginas = Math.max(1, Math.ceil(rijen.length / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER_PAGINA ? (pagina - 1) * PER_PAGINA : 0, tot = van + grootte;
+            Array.from(body.rows).forEach(tr => tr.style.display = 'none');
+            rijen.forEach((tr, i) => tr.style.display = (i >= van && i < tot) ? '' : 'none');
+            document.getElementById('teller').textContent = rijen.length
+                ? `${van + 1}–${Math.min(tot, rijen.length)} van ${rijen.length} leerling(en)` : 'Geen leerling gevonden';
+            const nav = document.getElementById('paginering');
+            nav.innerHTML = '';
+            if (paginas <= 1) return;
+            const knop = (label, p, actief, titel) => {
+                const b = document.createElement('button');
+                b.type = 'button'; b.textContent = label; b.className = 'btn-sm ' + (actief ? 'btn-secondary' : 'btn-light');
+                if (titel) b.title = titel;
+                b.onclick = () => { pagina = p; toon(); body.closest('.table-wrap').scrollIntoView({ block: 'start' }); };
+                nav.appendChild(b);
+            };
+            if (pagina > 1) { knop('«', 1, false, 'Eerste pagina'); knop('‹ Vorige', pagina - 1); }
+            for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+            if (pagina < paginas) { knop('Volgende ›', pagina + 1); knop('»', paginas, false, 'Laatste pagina'); }
+            const info = document.createElement('span');
+            info.className = 'muted small'; info.textContent = `pagina ${pagina} van ${paginas}`;
+            nav.appendChild(info);
+        }
+
+        document.getElementById('zoek').addEventListener('input', e => { zoek = e.target.value.trim().toLowerCase(); pagina = 1; toon(); });
+        document.querySelectorAll('th.sorteer').forEach(th => th.addEventListener('click', () => {
+            const k = +th.dataset.kol;
+            // aantal en datums: eerst hoog/nieuw → laag/oud; namen: eerst A → Z
+            op = kol === k ? !op : (k < 2);
+            kol = k;
+            document.querySelectorAll('th.sorteer').forEach(x => x.classList.remove('op', 'af'));
+            th.classList.add(op ? 'op' : 'af');
+            Array.from(body.rows).sort((a, b) => {
+                const x = a.cells[k].dataset.sort || '', y = b.cells[k].dataset.sort || '';
+                const c = x.localeCompare(y, 'nl', { numeric: true, sensitivity: 'base' });
+                return op ? c : -c;
+            }).forEach(tr => body.appendChild(tr));
+            pagina = 1; toon();
+        }));
+        perPaginaKiezer(document.getElementById('perPagina'), 'laatkomers', n => { PER_PAGINA = n; pagina = 1; toon(); });
+        toon();
+    })();
+
+    // Voortgang van een lopende synchronisatie volgen
+    (function pollSync() {
+        const bar = document.getElementById('syncProgressBar');
+        const box = document.getElementById('syncProgress');
+        const txt = document.getElementById('syncText');
+        const btn = document.getElementById('syncBtn');
+        let wasBusy = {{ 'true' if status.bezig else 'false' }};
+        function tick() {
+            fetch("{{ url_for('afwezigheden.status') }}").then(r => r.json()).then(s => {
+                if (s.bezig) {
+                    wasBusy = true;
+                    box.classList.remove('hidden'); btn.disabled = true;
+                    const pct = s.totaal ? Math.round(s.voortgang / s.totaal * 100) : 0;
+                    bar.style.width = pct + '%';
+                    txt.textContent = `Bezig: dag ${s.voortgang} van ${s.totaal}…`;
+                    setTimeout(tick, 2000);
+                } else if (wasBusy) {
+                    window.location.reload();
+                }
+            }).catch(() => {});
+        }
+        if (wasBusy) tick();
+    })();
+</script>
+{% endblock %}
diff --git a/templates/leerlingenaantal.html b/templates/leerlingenaantal.html
new file mode 100644
index 0000000..fc07c78
--- /dev/null
+++ b/templates/leerlingenaantal.html
@@ -0,0 +1,198 @@
+{% extends "base.html" %}
+
+{% block title %}{{ titel }}{% endblock %}
+{% block page_title %}{{ titel }}{% endblock %}
+{% block loader_text %}Bezig met tellen via Informat API...{% endblock %}
+
+{% block content %}
+<style>
+    .peil-form { display: flex; flex-wrap: wrap; align-items: flex-end; gap: 10px; margin-bottom: 14px; }
+    .peil-form .field { margin: 0; }
+    .peil-form input[type=date] { min-width: 180px; }
+    .peildata { display: flex; flex-wrap: wrap; gap: 8px; margin: 0 0 16px; padding: 0; list-style: none; }
+    .peildata a { display: inline-block; padding: 6px 12px; border: 1px solid var(--border); border-radius: 999px;
+                  text-decoration: none; color: inherit; font-size: .9em; background: var(--surface); }
+    .peildata a.actief { border-color: var(--primary-color); color: var(--primary-color); font-weight: 700; }
+    .peildata a span { color: var(--text-muted, #64748b); font-weight: 400; margin-left: 4px; }
+    /* Campussen van een school met meerdere instellingsnummers */
+    tr.campus-rij td { background: var(--surface-muted); border-top: 0; padding-top: 6px; padding-bottom: 6px; font-size: .92em; }
+    tr.campus-rij td:first-child { padding-left: 32px; }
+    tr.campus-rij .campus-naam { color: var(--text-muted, #475569); }
+    tr.campus-rij td.text-right { color: var(--text-muted, #475569); font-weight: 600; }
+    /* Onderwijsniveau: kop en subtotaal per groep */
+    tr.niveau-kop td { background: var(--surface-muted); font-size: .78em; font-weight: 700; letter-spacing: .06em;
+                       text-transform: uppercase; color: var(--text-muted, #475569); padding-top: 10px; padding-bottom: 10px; }
+    tr.subtotaal-rij td { background: color-mix(in srgb, var(--primary-color) 10%, transparent);
+                          border-top: 2px solid var(--primary-color); font-weight: 700; color: var(--primary-color); }
+    tr.subtotaal-rij td.text-right { font-size: 1.15em; }
+    tr.totaal-rij td { background: var(--primary-color); color: #fff; font-weight: 800; font-size: 1.05em;
+                       padding-top: 14px; padding-bottom: 14px; border: 0; }
+    tr.totaal-rij td.text-right { font-size: 1.3em; }
+</style>
+
+{# ---------- Telling op peildatum ---------- #}
+<div class="card">
+    <div class="page-head">
+        <h2>📅 Telling op peildatum</h2>
+        {% if peildata %}
+        <a class="btn btn-light btn-sm" href="{{ url_for(ep ~ '.export_csv', alle=1, query=query or None) }}">⬇️ CSV alle peildata</a>
+        {% endif %}
+    </div>
+
+    <form method="POST" action="{{ url_for(ep ~ '.tel_peildatum') }}" class="peil-form" onsubmit="showLoader()">
+        <div class="field">
+            <label for="peildatum">Peildatum</label>
+            <input type="date" id="peildatum" name="peildatum" required
+                   value="{{ (peildatum or vandaag).isoformat() }}">
+        </div>
+        <button type="submit">🔢 Tellen voor alle scholen</button>
+    </form>
+
+    {% if peildata %}
+    <ul class="peildata">
+        {% for p in peildata %}
+        <li><a href="{{ url_for(ep ~ '.' ~ pagina, peildatum=p.Peildatum.isoformat()) }}"
+               class="{{ 'actief' if peildatum and p.Peildatum == peildatum else '' }}">
+            {{ p.Peildatum.strftime('%d-%m-%Y') }}<span>{{ (p.Totaal or 0)|int }} {{ kort }}</span></a></li>
+        {% endfor %}
+    </ul>
+    {% endif %}
+
+    {% if telling %}
+    <div class="page-head" style="margin-bottom:10px">
+        <h3 style="margin:0">{{ eenheid }} op {{ peildatum.strftime('%d-%m-%Y') }}</h3>
+        <div class="actions">
+            <a class="btn btn-light btn-sm" href="{{ url_for(ep ~ '.export_csv', peildatum=peildatum.isoformat(), query=query or None) }}">⬇️ CSV-export</a>
+            <form method="POST" action="{{ url_for(ep ~ '.verwijder_peildatum') }}" style="margin:0"
+                  onsubmit="return confirm('De telling van {{ peildatum.strftime('%d-%m-%Y') }} verwijderen?')">
+                <input type="hidden" name="peildatum" value="{{ peildatum.isoformat() }}">
+                <button type="submit" class="btn-sm btn-ghost">🗑️ Verwijderen</button>
+            </form>
+        </div>
+    </div>
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr>
+                    <th>School</th>
+                    <th class="text-right">{{ eenheid }}</th>
+                    <th>Opgevraagd</th>
+                    <th class="actions">Actie</th>
+                </tr>
+            </thead>
+            {% for g in telling_groepen %}
+            <tbody>
+                <tr class="niveau-kop"><td colspan="4">{{ g.label }}</td></tr>
+                {% for row in g.rijen %}
+                <tr>
+                    <td><strong>{{ row.Naam_school }}</strong></td>
+                    <td class="text-right"><span style="font-size: 1.1em; color: var(--primary-color); font-weight: 700;">{{ row.Aantal if row.Aantal is not none else '–' }}</span></td>
+                    <td class="muted small">{% if row.Opgevraagd_op %}{{ row.Opgevraagd_op.strftime('%d-%m-%Y %H:%M') }}{% if row.Door %} · {{ row.Door }}{% endif %}{% else %}Niet geteld{% endif %}</td>
+                    <td class="actions">
+                        {% if row.Informat %}
+                        <form method="POST" action="{{ url_for(ep ~ '.tel_peildatum') }}" onsubmit="showLoader()">
+                            <input type="hidden" name="peildatum" value="{{ peildatum.isoformat() }}">
+                            <input type="hidden" name="school_code" value="{{ row.Code }}">
+                            <button type="submit" class="btn-sm btn-secondary">🔄 Opnieuw tellen</button>
+                        </form>
+                        {% else %}
+                        <span class="muted small">Informat niet ingesteld</span>
+                        {% endif %}
+                    </td>
+                </tr>
+                {% for c in row.Campussen %}
+                <tr class="campus-rij">
+                    <td><span class="campus-naam">↳ {{ c.naam }}</span></td>
+                    <td class="text-right">{{ c.aantal }}</td>
+                    <td colspan="2"></td>
+                </tr>
+                {% endfor %}
+                {% endfor %}
+                {% if g.code %}
+                <tr class="subtotaal-rij"><td>Subtotaal {{ g.label|lower }}</td><td class="text-right">{{ g.subtotaal }}</td><td colspan="2"></td></tr>
+                {% endif %}
+            </tbody>
+            {% endfor %}
+            <tfoot>
+                <tr class="totaal-rij"><td>Totaal scholengroep</td><td class="text-right">{{ telling_totaal }}</td><td colspan="2"></td></tr>
+            </tfoot>
+        </table>
+    </div>
+    {% endif %}
+</div>
+
+{# ---------- Huidig aantal ---------- #}
+<div class="card">
+    <div class="page-head">
+        <h2>🏢 Scholengroep: huidig aantal</h2>
+        <div class="actions">
+            <a class="btn btn-light btn-sm" href="{{ url_for(ep ~ '.export_csv', query=query or None) }}">⬇️ CSV-export</a>
+            <form method="POST" action="{{ url_for(ep ~ '.sync_aanvragen') }}" onsubmit="showLoader()" style="margin:0">
+                <input type="hidden" name="alle" value="1">
+                <button type="submit" class="btn-sm btn-secondary">🔄 Alle scholen synchroniseren</button>
+            </form>
+        </div>
+    </div>
+
+    <form method="GET" action="{{ url_for(ep ~ '.' ~ pagina) }}" class="search-bar">
+        {% if peildatum %}<input type="hidden" name="peildatum" value="{{ peildatum.isoformat() }}">{% endif %}
+        <input type="text" name="query" placeholder="Zoek op schoolnaam..." value="{{ query or '' }}">
+        <button type="submit">🔍 Zoeken</button>
+        {% if query %}
+            <a href="{{ url_for(ep ~ '.' ~ pagina, peildatum=peildatum.isoformat() if peildatum else None) }}" class="btn btn-light">✕ Wissen</a>
+        {% endif %}
+    </form>
+
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr>
+                    <th>School</th>
+                    <th class="text-right">{{ eenheid }}</th>
+                    <th>Laatste synchronisatie</th>
+                    <th class="actions">Actie</th>
+                </tr>
+            </thead>
+            {% for g in groepen %}
+            <tbody>
+                <tr class="niveau-kop"><td colspan="4">{{ g.label }}</td></tr>
+                {% for row in g.rijen %}
+                <tr>
+                    <td><strong>{{ row['Naam_school'] }}</strong></td>
+                    <td class="text-right"><span style="font-size: 1.1em; color: var(--primary-color); font-weight: 700;">{{ row['Huidig'] }}</span></td>
+                    <td>{{ row['Laatste_synchronisatie'] or 'Nog nooit' }}</td>
+                    <td class="actions">
+                        {% if row['Informat'] %}
+                        <form method="POST" action="{{ url_for(ep ~ '.sync_aanvragen') }}" onsubmit="showLoader()">
+                            <input type="hidden" name="school_code" value="{{ row['Code'] }}">
+                            <button type="submit" class="btn-sm btn-secondary">🔄 Sync aanvragen</button>
+                        </form>
+                        {% else %}
+                        <span class="muted small">Informat niet ingesteld</span>
+                        {% endif %}
+                    </td>
+                </tr>
+                {% for c in row['Campussen'] %}
+                <tr class="campus-rij">
+                    <td><span class="campus-naam">↳ {{ c.naam }}</span></td>
+                    <td class="text-right">{{ c.aantal }}</td>
+                    <td colspan="2"></td>
+                </tr>
+                {% endfor %}
+                {% endfor %}
+                {% if g.code %}
+                <tr class="subtotaal-rij"><td>Subtotaal {{ g.label|lower }}</td><td class="text-right">{{ g.subtotaal }}</td><td colspan="2"></td></tr>
+                {% endif %}
+            </tbody>
+            {% else %}
+            <tbody><tr class="empty-row"><td colspan="4">Geen scholen gevonden.</td></tr></tbody>
+            {% endfor %}
+            {% if results %}
+            <tfoot>
+                <tr class="totaal-rij"><td>Totaal scholengroep</td><td class="text-right">{{ totaal }}</td><td colspan="2"></td></tr>
+            </tfoot>
+            {% endif %}
+        </table>
+    </div>
+</div>
+{% endblock %}
diff --git a/templates/nieuw_schooljaar_accounts.html b/templates/nieuw_schooljaar_accounts.html
new file mode 100644
index 0000000..3a4b9eb
--- /dev/null
+++ b/templates/nieuw_schooljaar_accounts.html
@@ -0,0 +1,113 @@
+{% extends "base.html" %}
+
+{% block title %}Nieuw schooljaar – accounts{% endblock %}
+{% block page_title %}Nieuw schooljaar – leerlingaccounts{% endblock %}
+{% block main_class %}medium{% endblock %}
+{% block loader_text %}Bezig met verwerken... Even geduld.{% endblock %}
+
+{% block extra_css %}
+<style>
+    .form-section { display: flex; flex-direction: column; gap: 22px; max-width: 640px; margin: 8px auto 0; }
+    .ou-selector-row { display: grid; grid-template-columns: 1fr auto 1fr; align-items: end; gap: 12px; }
+    .ou-selector-row.single { grid-template-columns: 1fr; }
+    .ou-selector-row label { display: block; margin-bottom: 6px; }
+    .arrow { font-size: 22px; color: var(--text-muted); padding-bottom: 8px; }
+    .radio-group { display: flex; flex-direction: column; gap: 8px; }
+    .tab-intro { color: var(--text-muted); margin-bottom: 4px; }
+    @media (max-width: 640px) { .ou-selector-row { grid-template-columns: 1fr; } .arrow { transform: rotate(90deg); justify-self: center; } }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="tabs">
+    <button class="tab-link active" onclick="openTab(event, 'verplaatsen-tab')">➡️ Verplaatsen</button>
+    <button class="tab-link" onclick="openTab(event, 'archiveren-tab')">🗄️ Archiveren</button>
+    <button class="tab-link" onclick="openTab(event, 'archiveren-inactief-tab')">💤 Inactieven archiveren</button>
+</div>
+
+<section id="verplaatsen-tab" class="tab-content active">
+    <h2>Gebruikers van OU verplaatsen</h2>
+    <form class="form-section" method="POST" action="{{ url_for('accounts_verplaatsen.accounts_verplaatsen') }}" onsubmit="showLoader()">
+        <div class="ou-selector-row">
+            <div>
+                <label>Huidige OU</label>
+                <select name="huidige_ou" required>
+                    <option value="" disabled selected>Kies huidige OU</option>
+                    {% for ou in ous %}<option value="{{ ou.orgUnitPath }}">{{ ou.orgUnitPath }}</option>{% endfor %}
+                </select>
+            </div>
+            <span class="arrow">⟶</span>
+            <div>
+                <label>Nieuwe OU</label>
+                <select name="nieuwe_ou" required>
+                    <option value="" disabled selected>Kies nieuwe OU</option>
+                    {% for ou in ous %}<option value="{{ ou.orgUnitPath }}">{{ ou.orgUnitPath }}</option>{% endfor %}
+                </select>
+            </div>
+        </div>
+        <div class="radio-group">
+            <label class="check-box" style="margin:0"><input type="radio" name="move_type" value="current" checked> Enkel leerlingen die op dit moment ingeschreven zijn</label>
+            <label class="check-box" style="margin:0"><input type="radio" name="move_type" value="all"> Alle leerlingen in de huidige OU verplaatsen</label>
+        </div>
+        <div><button type="submit" class="btn-lg">Uitvoeren</button></div>
+    </form>
+</section>
+
+<section id="archiveren-tab" class="tab-content">
+    <h2>Gebruikers archiveren</h2>
+    <form class="form-section" method="POST" action="{{ url_for('accounts_verplaatsen.accounts_verplaatsen') }}" onsubmit="showLoader()">
+        <div class="ou-selector-row single">
+            <div>
+                <label>Bron-OU</label>
+                <select name="archief_ou" required>
+                    <option value="" disabled selected>Selecteer bron-OU</option>
+                    {% for ou in ous %}<option value="{{ ou.orgUnitPath }}">{{ ou.orgUnitPath }}</option>{% endfor %}
+                </select>
+            </div>
+        </div>
+        <div class="radio-group">
+            <label class="check-box" style="margin:0"><input type="radio" name="archive_type" value="not_enrolled" checked> Enkel leerlingen die op dit moment NIET ingeschreven zijn</label>
+            <label class="check-box" style="margin:0"><input type="radio" name="archive_type" value="all"> Alle leerlingen in de huidige OU archiveren</label>
+        </div>
+        <div><button type="submit" class="btn-lg">Archiveren</button></div>
+    </form>
+</section>
+
+<section id="archiveren-inactief-tab" class="tab-content">
+    <h2>Inactieve gebruikers archiveren</h2>
+    <p class="tab-intro">Gebruikers in de geselecteerde OU die langer dan de gekozen periode niet zijn ingelogd, worden gearchiveerd.</p>
+    <form class="form-section" method="POST" action="{{ url_for('accounts_verplaatsen.archiveren_inactief') }}" onsubmit="showLoader()">
+        <div class="ou-selector-row">
+            <div>
+                <label>Bron-OU</label>
+                <select name="bron_ou" required>
+                    <option value="" disabled selected>Selecteer bron-OU</option>
+                    {% for ou in ous %}<option value="{{ ou.orgUnitPath }}">{{ ou.orgUnitPath }}</option>{% endfor %}
+                </select>
+            </div>
+            <span></span>
+            <div>
+                <label for="inactief_periode">Niet aangemeld sinds</label>
+                <select name="inactief_periode" id="inactief_periode" required>
+                    <option value="30">30 dagen</option>
+                    <option value="180">6 maanden</option>
+                    <option value="365">1 jaar</option>
+                </select>
+            </div>
+        </div>
+        <div><button type="submit" class="btn-lg">Accounts archiveren</button></div>
+    </form>
+</section>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    function openTab(evt, tabName) {
+        document.querySelectorAll('.tab-content').forEach(t => { t.style.display = 'none'; t.classList.remove('active'); });
+        document.querySelectorAll('.tab-link').forEach(l => l.classList.remove('active'));
+        document.getElementById(tabName).style.display = 'block';
+        document.getElementById(tabName).classList.add('active');
+        evt.currentTarget.classList.add('active');
+    }
+</script>
+{% endblock %}
diff --git a/templates/nieuw_schooljaar_toestellen.html b/templates/nieuw_schooljaar_toestellen.html
new file mode 100644
index 0000000..b175f5b
--- /dev/null
+++ b/templates/nieuw_schooljaar_toestellen.html
@@ -0,0 +1,93 @@
+{% extends "base.html" %}
+
+{% block title %}Nieuw schooljaar – toestellen{% endblock %}
+{% block page_title %}Nieuw schooljaar – toestellen{% endblock %}
+{% block main_class %}medium{% endblock %}
+{% block loader_text %}Bezig met verwerken... Even geduld.{% endblock %}
+
+{% block extra_css %}
+<style>
+    .form-section { display: flex; flex-direction: column; gap: 22px; max-width: 640px; margin: 8px auto 0; }
+    .ou-selector-row { display: grid; grid-template-columns: 1fr auto 1fr; align-items: end; gap: 12px; }
+    .ou-selector-row.single { grid-template-columns: 1fr; }
+    .ou-selector-row label { display: block; margin-bottom: 6px; }
+    .arrow { font-size: 22px; color: var(--text-muted); padding-bottom: 8px; }
+    .button-row { display: flex; flex-wrap: wrap; gap: 10px; }
+    .tab-intro { color: var(--text-muted); margin-bottom: 4px; }
+    @media (max-width: 640px) { .ou-selector-row { grid-template-columns: 1fr; } .arrow { transform: rotate(90deg); justify-self: center; } }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="tabs">
+    <button class="tab-link {% if active_tab == 'verplaatsen' %}active{% endif %}" onclick="openTab(event, 'verplaatsen-tab')">➡️ Verplaatsen</button>
+    <button class="tab-link {% if active_tab == 'blokkeren' %}active{% endif %}" onclick="openTab(event, 'blokkeren-tab')">🔒 Blokkeren</button>
+</div>
+
+<section id="verplaatsen-tab" class="tab-content {% if active_tab == 'verplaatsen' %}active{% endif %}" style="display: {% if active_tab == 'verplaatsen' %}block{% else %}none{% endif %};">
+    <h2>Chromebooks van OU verplaatsen</h2>
+    <form class="form-section" method="POST" action="{{ url_for('toestellen_verplaatsen.move_toestellen') }}" onsubmit="showLoader('Toestellen verplaatsen...')">
+        <div class="ou-selector-row">
+            <div>
+                <label>Huidige OU (bron)</label>
+                <select name="huidige_ou" required>
+                    <option value="" disabled selected>Kies bron-OU</option>
+                    {% for ou in org_units %}<option value="{{ ou.orgUnitPath }}">{{ ou.orgUnitPath }}</option>{% endfor %}
+                </select>
+            </div>
+            <span class="arrow">⟶</span>
+            <div>
+                <label>Nieuwe OU (doel)</label>
+                <select name="nieuwe_ou" required>
+                    <option value="" disabled selected>Kies doel-OU</option>
+                    {% for ou in org_units %}<option value="{{ ou.orgUnitPath }}">{{ ou.orgUnitPath }}</option>{% endfor %}
+                </select>
+            </div>
+        </div>
+        <div><button type="submit" class="btn-lg">Uitvoeren</button></div>
+    </form>
+</section>
+
+<section id="blokkeren-tab" class="tab-content {% if active_tab == 'blokkeren' %}active{% endif %}" style="display: {% if active_tab == 'blokkeren' %}block{% else %}none{% endif %};">
+    <h2>Chromebooks blokkeren of deblokkeren</h2>
+    <p class="tab-intro">Selecteer een OU om de status van alle aanwezige Chromebooks te wijzigen.</p>
+    <form class="form-section" method="POST" action="{{ url_for('toestellen_verplaatsen.blokkeer_toestellen') }}" onsubmit="return handleBlokkeerSubmit()">
+        <div class="ou-selector-row single">
+            <div>
+                <label for="ou_select_blokkeer">Doel-OU</label>
+                <select id="ou_select_blokkeer" name="ou_select_blokkeer" required>
+                    <option value="" disabled selected>Selecteer de doel-OU</option>
+                    {% for ou in org_units %}<option value="{{ ou.orgUnitPath }}">{{ ou.orgUnitPath }}</option>{% endfor %}
+                </select>
+            </div>
+        </div>
+        <div class="button-row">
+            <button type="submit" name="actie" value="blokkeer" class="btn-lg btn-danger" onclick="setLastAction('blokkeer')">🔒 Alles blokkeren</button>
+            <button type="submit" name="actie" value="deblokkeer" class="btn-lg btn-secondary" onclick="setLastAction('deblokkeer')">🔓 Alles deblokkeren</button>
+        </div>
+    </form>
+</section>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    let lastAction = '';
+    function setLastAction(action) { lastAction = action; }
+
+    function handleBlokkeerSubmit() {
+        const msg = lastAction === 'blokkeer'
+            ? 'Weet je zeker dat je ALLE toestellen in deze OU wilt BLOKKEREN?'
+            : 'Weet je zeker dat je ALLE toestellen in deze OU wilt DEBLOKKEREN?';
+        if (confirm(msg)) { showLoader('Status wijzigen... Even geduld.'); return true; }
+        return false;
+    }
+
+    function openTab(evt, tabName) {
+        document.querySelectorAll('.tab-content').forEach(t => { t.style.display = 'none'; t.classList.remove('active'); });
+        document.querySelectorAll('.tab-link').forEach(l => l.classList.remove('active'));
+        document.getElementById(tabName).style.display = 'block';
+        document.getElementById(tabName).classList.add('active');
+        evt.currentTarget.classList.add('active');
+    }
+</script>
+{% endblock %}
diff --git a/templates/pdf_template_leerkracht.html b/templates/pdf_template_leerkracht.html
new file mode 100644
index 0000000..139c4c2
--- /dev/null
+++ b/templates/pdf_template_leerkracht.html
@@ -0,0 +1,112 @@
+<!DOCTYPE html>
+<html>
+<head>
+    <style>
+        body { 
+            font-family: Helvetica, Arial, sans-serif; 
+            color: #333; 
+            line-height: 1.15; 
+            padding: 10px; 
+            font-size: 11pt;
+        }
+        
+        /* Header met Logo */
+        .header-table {
+            width: 100%;
+            border-bottom: 1px solid #2c3e50;
+            margin-bottom: 10px;
+        }
+        .logo-cell {
+            width: 20%; /* Ruimte voor het logo */
+            vertical-align: middle;
+            text-align: left;
+            padding-bottom: 5px;
+        }
+        .title-cell {
+            width: 80%;
+            vertical-align: middle;
+            text-align: right; /* Titel rechts, logo links */
+            padding-bottom: 5px;
+        }
+        h1 { 
+            font-size: 18pt; 
+            margin: 0;
+        }
+
+        /* Compacte tekst instellingen */
+        p { margin: 4px 0; }
+
+        .account-box { 
+            background: #f2f2f2; 
+            border: 1px solid #ccc; 
+            padding: 8px 12px; 
+            margin: 10px 0; 
+        }
+        .account-box p { margin: 2px 0; }
+
+        .signature-table { 
+            width: 100%; 
+            margin-top: 15px; 
+            border: none; 
+        }
+        .signature-cell { 
+            width: 50%; 
+            vertical-align: top; 
+            border: none; 
+            font-size: 10pt;
+        }
+
+        .footer-text { 
+            margin-top: 10px; 
+            font-style: italic; 
+            font-size: 10pt;
+        }
+    </style>
+</head>
+<body>
+    <table class="header-table">
+        <tr>
+            <td class="logo-cell">
+                <img src="https://lh3.googleusercontent.com/VfGv19vzyZXq4dHmz4eUMZ1Pmyz-vgYq4TcIwlh5zYR7_lur1X0T22CaCTb_u1AlJtksVgDZX_b1gXT0Oz4cxCU7Y-HJchZx3vY=l80-w450-e365" style="height: 60px;">
+            </td>
+            <td class="title-cell">
+                <h1>{{ school_name_short|upper }} Google Account</h1>
+            </td>
+        </tr>
+    </table>
+
+    <div class="content">
+        <p>Beste <strong>{{ naam }}</strong>,</p>
+        
+        <p>Je account voor de schoolomgeving is aangemaakt op {{ datum }}.</p>
+        
+        <div class="account-box">
+            <p><strong>E-mailadres:</strong> {{ email }}</p>
+            <p><strong>Tijdelijk wachtwoord:</strong> {{ wachtwoord }}</p>
+        </div>
+
+        <p>Hiermee kan je gebruikmaken van alle schoolgebonden google toepassingen (Drive, Gmail, Classroom, Agenda...).</p>
+        
+        <p><strong>Let op:</strong> Je zult gevraagd worden om je wachtwoord te wijzigen bij de eerste keer inloggen.</p>
+        
+        <p class="footer-text">Heb je nog vragen, spring gerust binnen of mail me je vraag!</p>
+    </div>
+
+    <p style="margin-top: 15px;">Met vriendelijke groeten,</p>
+
+    <table class="signature-table">
+        <tr>
+            <td class="signature-cell">
+                <strong>K. Verbruggen</strong><br>
+                ICT coördinator<br>
+                <a href="mailto:{{ contact_email }}">{{ contact_email }}</a>
+            </td>
+            <td class="signature-cell">
+                <strong>B. Elewaut</strong><br>
+                Directeur<br>
+                <a href="mailto:directie@kamkersem.be">directie@kamkersem.be</a>
+            </td>
+        </tr>
+    </table>
+</body>
+</html>
\ No newline at end of file
diff --git a/templates/pdf_template_leerling.html b/templates/pdf_template_leerling.html
new file mode 100644
index 0000000..12cd840
--- /dev/null
+++ b/templates/pdf_template_leerling.html
@@ -0,0 +1,110 @@
+<!DOCTYPE html>
+<html>
+<head>
+    <meta charset="UTF-8">
+    <style>
+        @page {
+            size: A4;
+            margin: 2cm;
+        }
+        body { 
+            font-family: Helvetica, Arial, sans-serif; 
+            color: #333; 
+            line-height: 1.2; 
+            font-size: 11pt;
+        }
+        .header-table {
+            width: 100%;
+            border-bottom: 1px solid #2c3e50;
+            margin-bottom: 20px;
+        }
+        .logo-cell {
+            width: 30%; 
+            vertical-align: middle;
+            text-align: left;
+            padding-bottom: 10px;
+        }
+        .logo-cell img {
+            height: 60px;
+        }
+        .title-cell {
+            width: 70%;
+            vertical-align: middle;
+            text-align: right; 
+            padding-bottom: 10px;
+        }
+        h1 { 
+            font-size: 18pt; 
+            margin: 0;
+            color: #2c3e50;
+        }
+        .account-box { 
+            background-color: #f2f2f2; 
+            border: 1px solid #ccc; 
+            padding: 15px; 
+            margin: 20px 0; 
+        }
+        .signature-table { 
+            width: 100%; 
+            margin-top: 30px; 
+        }
+        .signature-cell { 
+            width: 50%; 
+            vertical-align: top; 
+            font-size: 10pt;
+        }
+        .footer-text { 
+            margin-top: 20px; 
+            font-style: italic; 
+            font-size: 10pt;
+            color: #666;
+        }
+    </style>
+</head>
+<body>
+    <table class="header-table">
+        <tr>
+            <td class="logo-cell">
+                <img src="https://jouwschool.be/logo.png" alt="Logo">
+            </td>
+            <td class="title-cell">
+                <h1>{{ school_name_short|upper }} Google Account</h1>
+            </td>
+        </tr>
+    </table>
+
+    <div class="content">
+        <p>Beste <strong>{{ naam }}</strong>,</p>
+        
+        <p>Je account voor de schoolomgeving is aangemaakt/bijgewerkt op {{ datum }}.</p>
+        
+        <div class="account-box">
+            <p><strong>E-mailadres:</strong> {{ email }}</p>
+            <p><strong>Wachtwoord:</strong> {{ wachtwoord }}</p>
+        </div>
+
+        <p>Hiermee kan je aanmelden op je Chromebook en andere schooldiensten.</p>
+        
+        <p><strong>Let op:</strong> Indien dit een nieuw account is, moet je je wachtwoord wijzigen bij de eerste keer inloggen.</p>
+        
+        <p class="footer-text">Heb je nog vragen, contacteer dan de ICT-coördinator!</p>
+    </div>
+
+    <p style="margin-top: 25px;">Met vriendelijke groeten,</p>
+
+    <table class="signature-table">
+        <tr>
+            <td class="signature-cell">
+                <strong>K. Verbruggen</strong><br>
+                ICT coördinator<br>
+                {{ contact_email }}
+            </td>
+            <td class="signature-cell">
+                <strong>B. Elewaut</strong><br>
+                Directeur<br>
+                directie@kamkersem.be
+            </td>
+        </tr>
+    </table>
+</body>
+</html>
\ No newline at end of file
diff --git a/templates/personeel_beoordelen.html b/templates/personeel_beoordelen.html
new file mode 100644
index 0000000..1fbe237
--- /dev/null
+++ b/templates/personeel_beoordelen.html
@@ -0,0 +1,68 @@
+{% extends "base.html" %}
+{% from "_personeel.html" import subnav, status_badge, soort_label, periode with context %}
+
+{% block title %}Te beoordelen{% endblock %}
+{% block page_title %}Te beoordelen{% endblock %}
+{% block main_class %}medium{% endblock %}
+
+{% block extra_css %}
+<style>
+    .req { display: grid; grid-template-columns: 1fr auto; gap: 8px 16px; }
+    .req h3 { margin: 0; font-size: 1.05rem; }
+    .req .meta { color: var(--text-muted); font-size: 14px; }
+    .req .desc { grid-column: 1 / -1; font-size: 14px; white-space: pre-line; }
+    .quick { grid-column: 1 / -1; display: flex; flex-wrap: wrap; gap: 8px; align-items: center; padding-top: 12px; border-top: 1px solid var(--border); }
+    .quick input[type=text] { flex: 1 1 240px; width: auto; }
+    .chips { display: inline-flex; flex-wrap: wrap; gap: 4px; }
+    .chips span { padding: 1px 8px; border-radius: 999px; background: var(--primary-light); color: var(--primary-color); font-size: 12px; font-weight: 600; }
+</style>
+{% endblock %}
+
+{% block content %}
+{{ subnav('beoordelen') }}
+
+{% for i in open_items %}
+<div class="card">
+    <div class="req">
+        <div>
+            <h3><a href="{{ url_for('personeel.detail', aid=i.ID) }}">{{ soort_label(i.Soort) }}: {{ i.Titel }}</a></h3>
+            <div class="meta"><strong>{{ i.Naam }}</strong> · {{ periode(i) }}{% if i.Kost %} · € {{ '%.2f'|format(i.Kost)|replace('.', ',') }}{% endif %}</div>
+            {% if i.Klassen %}<div class="chips" style="margin-top:6px">{% for k in i.Klassen.split(',') %}<span>{{ k.strip() }}</span>{% endfor %}</div>{% endif %}
+        </div>
+        <div>{{ status_badge(i.Status) }}</div>
+        {% if i.Omschrijving %}<div class="desc">{{ i.Omschrijving }}</div>{% endif %}
+        <form class="quick" method="POST" action="{{ url_for('personeel.beslissing', aid=i.ID) }}" onsubmit="showLoader()">
+            <input type="hidden" name="volgende" value="1">
+            <input type="text" name="tekst" placeholder="Commentaar (verplicht bij weigeren of vraag)">
+            <button type="submit" name="actie" value="goedgekeurd" class="btn-success btn-sm">✓ Goedkeuren</button>
+            <button type="submit" name="actie" value="vraag" class="btn-warning btn-sm">❓ Vraag</button>
+            <button type="submit" name="actie" value="geweigerd" class="btn-danger btn-sm">✕ Weigeren</button>
+        </form>
+    </div>
+</div>
+{% else %}
+<div class="card text-center"><p style="margin:0">🎉 Er wacht niets op een beslissing.</p></div>
+{% endfor %}
+
+{% if recent %}
+<div class="card">
+    <h3 class="card-title">Recent beslist</h3>
+    <div class="table-wrap">
+        <table>
+            <thead><tr><th>Soort</th><th>Wie</th><th>Titel</th><th>Wanneer</th><th>Beslissing</th></tr></thead>
+            <tbody>
+            {% for i in recent %}
+                <tr>
+                    <td class="nowrap">{{ soort_label(i.Soort) }}</td>
+                    <td>{{ i.Naam }}</td>
+                    <td><a href="{{ url_for('personeel.detail', aid=i.ID) }}">{{ i.Titel }}</a></td>
+                    <td class="nowrap">{{ periode(i) }}</td>
+                    <td>{{ status_badge(i.Status) }}</td>
+                </tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+</div>
+{% endif %}
+{% endblock %}
diff --git a/templates/personeel_dagoverzicht.html b/templates/personeel_dagoverzicht.html
new file mode 100644
index 0000000..2b37682
--- /dev/null
+++ b/templates/personeel_dagoverzicht.html
@@ -0,0 +1,134 @@
+{% extends "base.html" %}
+{% from "_personeel.html" import subnav, status_badge, soort_label with context %}
+
+{% block title %}Dagoverzicht{% endblock %}
+{% block page_title %}Dagoverzicht secretariaat{% endblock %}
+
+{% block extra_css %}
+<style>
+    .nav-bar { display: flex; flex-wrap: wrap; align-items: center; gap: 10px; margin-bottom: 18px; }
+    .nav-bar .date-title { font-size: 1.25rem; font-weight: 700; margin: 0 8px; }
+    .nav-bar form { display: flex; gap: 6px; margin: 0; }
+    .nav-bar input[type=date] { width: auto; }
+    .seg { display: inline-flex; border: 1px solid var(--border-strong); border-radius: var(--radius-sm); overflow: hidden; }
+    .seg a { padding: 8px 14px; text-decoration: none; color: var(--text); font-weight: 600; font-size: 14px; background: #fff; }
+    .seg a.on { background: var(--primary-color); color: #fff; }
+    .day { margin-bottom: 20px; }
+    .day-head { display: flex; align-items: baseline; gap: 12px; margin-bottom: 10px; }
+    .day-head h3 { margin: 0; text-transform: capitalize; }
+    .day-head.today h3::after { content: "vandaag"; margin-left: 8px; font-size: 12px; font-weight: 700; color: #fff; background: var(--primary-color); padding: 2px 8px; border-radius: 999px; vertical-align: middle; }
+    .cols { display: grid; grid-template-columns: 3fr 2fr; gap: 16px; }
+    @media (max-width: 860px) { .cols { grid-template-columns: 1fr; } }
+    .cols .card + .card { margin-top: 0; }
+    .card h4 { margin: 0 0 10px; font-size: 13px; text-transform: uppercase; letter-spacing: .05em; color: var(--text-muted); }
+    .person { display: grid; grid-template-columns: 1fr auto; gap: 4px 12px; padding: 10px 0; border-bottom: 1px solid var(--border); }
+    .person:last-child { border-bottom: 0; }
+    .person .nm { font-weight: 700; }
+    .person .what { font-size: 13px; color: var(--text-muted); }
+    .person .right { text-align: right; }
+    .chips { display: inline-flex; flex-wrap: wrap; gap: 4px; margin-top: 4px; }
+    .chips span { padding: 1px 8px; border-radius: 999px; background: var(--primary-light); color: var(--primary-color); font-size: 12px; font-weight: 600; }
+    .klas-row { display: flex; justify-content: space-between; gap: 10px; padding: 8px 0; border-bottom: 1px solid var(--border); }
+    .klas-row:last-child { border-bottom: 0; }
+    .klas-row .k { font-weight: 800; font-size: 1.05rem; min-width: 60px; }
+    .empty { color: var(--text-muted); padding: 6px 0; }
+    .pending { margin-top: 10px; font-size: 13px; color: var(--text-muted); }
+    .vv-form { display: inline; }
+    @media print {
+        .tabs, .nav-bar form, .seg, .vv-form button, .pending { display: none !important; }
+        .card { break-inside: avoid; }
+    }
+</style>
+{% endblock %}
+
+{% block content %}
+{{ subnav('dagoverzicht') }}
+
+<div class="nav-bar">
+    <a class="btn btn-light" href="{{ url_for('personeel.dagoverzicht', datum=vorige.isoformat(), weergave=weergave) }}">‹</a>
+    <a class="btn btn-light" href="{{ url_for('personeel.dagoverzicht', weergave=weergave) }}">Vandaag</a>
+    <a class="btn btn-light" href="{{ url_for('personeel.dagoverzicht', datum=volgende.isoformat(), weergave=weergave) }}">›</a>
+    <span class="date-title">
+        {% if weergave == 'week' %}Week van {{ van.strftime('%d/%m') }} tot {{ tot.strftime('%d/%m/%Y') }}{% else %}{{ dag.strftime('%d/%m/%Y') }}{% endif %}
+    </span>
+    <span class="seg">
+        <a class="{{ 'on' if weergave == 'dag' }}" href="{{ url_for('personeel.dagoverzicht', datum=dag.isoformat(), weergave='dag') }}">Dag</a>
+        <a class="{{ 'on' if weergave == 'week' }}" href="{{ url_for('personeel.dagoverzicht', datum=dag.isoformat(), weergave='week') }}">Week</a>
+    </span>
+    <form method="GET" action="{{ url_for('personeel.dagoverzicht') }}">
+        <input type="hidden" name="weergave" value="{{ weergave }}">
+        <input type="date" name="datum" value="{{ dag.isoformat() }}" onchange="this.form.submit()">
+    </form>
+    <span style="flex:1"></span>
+    <a class="btn btn-light" href="{{ url_for('personeel.nieuw', soort='afwezigheid') }}">➕ Afwezigheid melden</a>
+    <button type="button" class="btn-light" onclick="window.print()">🖨️ Afdrukken</button>
+</div>
+
+{% set weekdagen = ['maandag','dinsdag','woensdag','donderdag','vrijdag','zaterdag','zondag'] %}
+{% for d in dagen %}
+<div class="day">
+    <div class="day-head {{ 'today' if d.datum == vandaag }}">
+        <h3>{{ weekdagen[d.datum.weekday()] }} {{ d.datum.strftime('%d/%m') }}</h3>
+        <span class="muted small">{{ d.personen|length }} afwezig · {{ d.klassen|length }} klas(sen) weg
+            {% if d.open_vervanging %} · <strong style="color:var(--warning-text)">{{ d.open_vervanging }} vervanging(en) te regelen</strong>{% endif %}</span>
+    </div>
+    <div class="cols">
+        <div class="card">
+            <h4>👤 Afwezige personeelsleden</h4>
+            {% for p in d.personen %}
+                {% set i = p.item %}
+                <div class="person">
+                    <div>
+                        <div class="nm">{{ p.naam }}</div>
+                        <div class="what">
+                            {% if p.rol == 'begeleider' %}🚌 begeleider uitstap "{{ i.Titel }}" ({{ i.Naam }})
+                            {% else %}{{ soort_label(i.Soort) }}{% if i.Soort != 'afwezigheid' %}: {{ i.Titel }}{% endif %}{% endif %}
+                            · {{ DAGDELEN.get(i.Dagdeel) }}{% if i.Dagdeel == 'uren' and i.Lesuren %} ({{ i.Lesuren }}){% endif %}
+                        </div>
+                        {% if p.rol != 'begeleider' and i.Soort != 'uitstap' and i.Klassen %}
+                            <div class="chips">{% for k in i.Klassen.split(',') %}<span>{{ k.strip() }}</span>{% endfor %}</div>
+                        {% endif %}
+                        {% if p.rol != 'begeleider' and i.Soort == 'afwezigheid' and i.Omschrijving %}<div class="what" style="margin-top:4px">💬 {{ i.Omschrijving }}</div>{% endif %}
+                    </div>
+                    <div class="right">
+                        {% if p.rol != 'begeleider' and i.Soort != 'uitstap' and i.Klassen %}
+                            <form class="vv-form" method="POST" action="{{ url_for('personeel.vervanging', aid=i.ID) }}">
+                                <input type="hidden" name="terug" value="{{ request.full_path }}">
+                                <input type="hidden" name="info" value="{{ i.Vervanging_info or '' }}">
+                                {% if i.Vervanging_ok %}
+                                    <span class="badge badge-success">✓ Vervanging</span>
+                                    <button type="submit" name="ok" value="0" class="btn-ghost btn-sm" title="Terug op 'te regelen' zetten">↺</button>
+                                {% else %}
+                                    <span class="badge badge-warning">Vervanging te regelen</span>
+                                    <button type="submit" name="ok" value="1" class="btn-light btn-sm" title="Markeer als geregeld">✓ Geregeld</button>
+                                {% endif %}
+                            </form>
+                        {% endif %}
+                        <div><a class="small" href="{{ url_for('personeel.detail', aid=i.ID) }}">details</a></div>
+                    </div>
+                </div>
+            {% else %}
+                <div class="empty">Niemand afwezig. 🎉</div>
+            {% endfor %}
+        </div>
+        <div class="card">
+            <h4>🚌 Klassen weg</h4>
+            {% for k in d.klassen %}
+                <div class="klas-row">
+                    <span class="k">{{ k.klas }}</span>
+                    <span class="muted small" style="flex:1">{{ k.item.Titel }}{% if k.item.Locatie %} · {{ k.item.Locatie }}{% endif %}<br>
+                        {{ DAGDELEN.get(k.item.Dagdeel) }}{% if k.item.Dagdeel == 'uren' and k.item.Lesuren %} ({{ k.item.Lesuren }}){% endif %} · {{ k.item.Naam }}</span>
+                </div>
+            {% else %}
+                <div class="empty">Geen klassen weg.</div>
+            {% endfor %}
+            {% if d.wachtend %}
+            <div class="pending">⏳ Nog niet goedgekeurd:
+                {% for w in d.wachtend %}<a href="{{ url_for('personeel.detail', aid=w.ID) }}">{{ SOORTEN[w.Soort].icoon }} {{ w.Naam }} – {{ w.Titel }}</a>{{ ', ' if not loop.last }}{% endfor %}
+            </div>
+            {% endif %}
+        </div>
+    </div>
+</div>
+{% endfor %}
+{% endblock %}
diff --git a/templates/personeel_detail.html b/templates/personeel_detail.html
new file mode 100644
index 0000000..c72e4c5
--- /dev/null
+++ b/templates/personeel_detail.html
@@ -0,0 +1,134 @@
+{% extends "base.html" %}
+{% from "_personeel.html" import subnav, status_badge, soort_label, periode with context %}
+
+{% block title %}{{ SOORTEN[item.Soort].label }} – {{ item.Naam }}{% endblock %}
+{% block page_title %}{{ SOORTEN[item.Soort].icoon }} {{ SOORTEN[item.Soort].label }}{% endblock %}
+{% block main_class %}medium{% endblock %}
+
+{% block extra_css %}
+<style>
+    .detail-head { display: flex; flex-wrap: wrap; justify-content: space-between; gap: 12px; align-items: flex-start; margin-bottom: 14px; }
+    .detail-head h2 { margin: 0 0 4px; }
+    dl.facts { display: grid; grid-template-columns: 160px 1fr; gap: 8px 16px; margin: 0; }
+    dl.facts dt { color: var(--text-muted); font-size: 14px; }
+    dl.facts dd { margin: 0; font-weight: 500; }
+    @media (max-width: 560px) { dl.facts { grid-template-columns: 1fr; gap: 2px; } dl.facts dd { margin-bottom: 8px; } }
+    .chips { display: flex; flex-wrap: wrap; gap: 5px; }
+    .chips span { padding: 2px 10px; border-radius: 999px; background: var(--primary-light); color: var(--primary-color); font-size: 13px; font-weight: 600; }
+    .timeline { list-style: none; margin: 0; padding: 0; }
+    .timeline li { position: relative; padding: 0 0 18px 28px; }
+    .timeline li::before { content: ""; position: absolute; left: 7px; top: 18px; bottom: 0; width: 2px; background: var(--border); }
+    .timeline li:last-child::before { display: none; }
+    .timeline .dot { position: absolute; left: 0; top: 3px; width: 16px; height: 16px; border-radius: 50%; background: var(--border-strong); border: 3px solid #fff; box-shadow: 0 0 0 1px var(--border); }
+    .timeline .dot.goedgekeurd { background: var(--success); } .timeline .dot.geweigerd { background: var(--danger); }
+    .timeline .dot.vraag { background: #f59e0b; } .timeline .dot.antwoord, .timeline .dot.commentaar { background: var(--primary-color); }
+    .timeline .who { font-weight: 600; } .timeline .when { color: var(--text-muted); font-size: 13px; }
+    .timeline .txt { margin-top: 4px; padding: 8px 12px; background: var(--surface-muted); border-radius: var(--radius-sm); white-space: pre-line; }
+    .decision-buttons { display: flex; flex-wrap: wrap; gap: 8px; }
+    .panel { border: 2px solid var(--border); border-radius: var(--radius-lg); padding: 18px; }
+    .panel.directie { border-color: #fde68a; background: #fffdf3; }
+    .panel.vraag { border-color: #fde68a; background: #fffbeb; }
+</style>
+{% endblock %}
+
+{% block content %}
+{{ subnav('') }}
+
+<div class="card">
+    <div class="detail-head">
+        <div>
+            <h2>{{ item.Titel }}</h2>
+            <div class="muted">{{ item.Naam or item.Email }}{% if item.Ingediend_door %} · gemeld door {{ item.Ingediend_door }}{% endif %}</div>
+        </div>
+        <div>{{ status_badge(item.Status) }}</div>
+    </div>
+    <dl class="facts">
+        <dt>Soort</dt><dd>{{ soort_label(item.Soort) }}</dd>
+        <dt>Wanneer</dt><dd>{{ periode(item) }}</dd>
+        {% if item.Locatie %}<dt>Locatie</dt><dd>{{ item.Locatie }}</dd>{% endif %}
+        {% if item.Klassen %}<dt>{{ 'Klassen mee' if item.Soort == 'uitstap' else 'Klassen' }}</dt>
+            <dd><div class="chips">{% for k in item.Klassen.split(',') %}<span>{{ k.strip() }}</span>{% endfor %}</div></dd>{% endif %}
+        {% if item.Begeleiders %}<dt>Begeleiders</dt><dd>{{ item.Begeleiders }}</dd>{% endif %}
+        {% if item.Kost %}<dt>Kost</dt><dd>€ {{ '%.2f'|format(item.Kost)|replace('.', ',') }}</dd>{% endif %}
+        {% if item.Omschrijving %}<dt>{{ 'Opmerking' if item.Soort == 'afwezigheid' else 'Toelichting' }}</dt><dd style="white-space:pre-line">{{ item.Omschrijving }}</dd>{% endif %}
+        {% if 'secretariaat' in p_rollen and item.Klassen and item.Soort != 'uitstap' %}
+            <dt>Vervanging</dt>
+            <dd>{% if item.Vervanging_ok %}<span class="badge badge-success">✓ Geregeld</span>{% else %}<span class="badge badge-warning">Nog te regelen</span>{% endif %}
+                {% if item.Vervanging_info %}<span class="muted"> · {{ item.Vervanging_info }}</span>{% endif %}</dd>
+        {% endif %}
+    </dl>
+</div>
+
+{# ---------- Directie: beslissen ---------- #}
+{% if 'directie' in p_rollen and SOORTEN[item.Soort].goedkeuring and item.Status in ('ingediend', 'vraag') %}
+<div class="card panel directie">
+    <h3 class="card-title">Beslissing directie</h3>
+    {% if item.Status == 'vraag' %}<p class="muted small">Je hebt een vraag gesteld; de leerkracht heeft nog niet geantwoord. Je kan toch al beslissen.</p>{% endif %}
+    <form method="POST" action="{{ url_for('personeel.beslissing', aid=item.ID) }}" onsubmit="showLoader()">
+        <div class="field">
+            <label for="tekst">Commentaar <span class="muted">(verplicht bij weigeren of vraag)</span></label>
+            <textarea id="tekst" name="tekst" placeholder="bv. Akkoord, graag verslag op de personeelsvergadering."></textarea>
+        </div>
+        <div class="decision-buttons">
+            <button type="submit" name="actie" value="goedgekeurd" class="btn-success">✓ Goedkeuren</button>
+            <button type="submit" name="actie" value="vraag" class="btn-warning">❓ Vraag stellen</button>
+            <button type="submit" name="actie" value="geweigerd" class="btn-danger">✕ Weigeren</button>
+        </div>
+    </form>
+</div>
+{% endif %}
+
+{# ---------- Leerkracht: antwoorden op vraag ---------- #}
+{% if is_eigenaar and item.Status == 'vraag' %}
+<div class="card panel vraag">
+    <h3 class="card-title">❓ De directie heeft een vraag</h3>
+    <form method="POST" action="{{ url_for('personeel.antwoord', aid=item.ID) }}" onsubmit="showLoader()">
+        <div class="field"><textarea name="tekst" required placeholder="Je antwoord..."></textarea></div>
+        <button type="submit">Antwoord versturen</button>
+    </form>
+</div>
+{% endif %}
+
+{# ---------- Secretariaat: vervanging ---------- #}
+{% if 'secretariaat' in p_rollen and item.Status in ('gemeld', 'goedgekeurd') and item.Soort != 'uitstap' %}
+<div class="card">
+    <h3 class="card-title">🔁 Vervanging</h3>
+    <form method="POST" action="{{ url_for('personeel.vervanging', aid=item.ID) }}" class="search-bar" style="margin:0">
+        <input type="text" name="info" value="{{ item.Vervanging_info or '' }}" placeholder="bv. 3A studie, 4B les door Jan">
+        <button type="submit" name="ok" value="1" class="btn-success">✓ Geregeld</button>
+        {% if item.Vervanging_ok %}<button type="submit" name="ok" value="0" class="btn-light">Nog niet geregeld</button>{% endif %}
+    </form>
+</div>
+{% endif %}
+
+{# ---------- Verloop + commentaar ---------- #}
+<div class="card">
+    <h3 class="card-title">Verloop</h3>
+    <ul class="timeline">
+        {% set labels = {'ingediend': 'diende de aanvraag in', 'gemeld': 'meldde de afwezigheid', 'goedgekeurd': 'keurde goed',
+                         'geweigerd': 'weigerde', 'vraag': 'stelde een vraag', 'antwoord': 'antwoordde',
+                         'commentaar': 'schreef', 'geannuleerd': 'annuleerde', 'vervanging': 'vervanging'} %}
+        {% for r in reacties %}
+        <li>
+            <span class="dot {{ r.Actie }}"></span>
+            <span class="who">{{ r.Naam or r.Email or '?' }}</span> {{ labels.get(r.Actie, r.Actie) }}
+            <span class="when"> · {{ r.Tijdstip.strftime('%d/%m %H:%M') }}</span>
+            {% if r.Tekst %}<div class="txt">{{ r.Tekst }}</div>{% endif %}
+        </li>
+        {% endfor %}
+    </ul>
+    {% if item.Status not in ('geannuleerd',) %}
+    <form method="POST" action="{{ url_for('personeel.commentaar', aid=item.ID) }}" class="search-bar" style="margin: 6px 0 0">
+        <input type="text" name="tekst" placeholder="Opmerking toevoegen..." required>
+        <button type="submit" class="btn-light">Toevoegen</button>
+    </form>
+    {% endif %}
+</div>
+
+{% if (is_eigenaar or 'secretariaat' in p_rollen) and item.Status not in ('geannuleerd', 'geweigerd') and item.Tot_datum >= vandaag %}
+<form method="POST" action="{{ url_for('personeel.annuleren', aid=item.ID) }}" style="text-align:right"
+      onsubmit="return confirm('Deze {{ SOORTEN[item.Soort].label|lower }} annuleren?')">
+    <button type="submit" class="btn-link">{{ 'Afwezigheid intrekken' if item.Soort == 'afwezigheid' else 'Aanvraag annuleren' }}</button>
+</form>
+{% endif %}
+{% endblock %}
diff --git a/templates/personeel_mijn.html b/templates/personeel_mijn.html
new file mode 100644
index 0000000..cf76346
--- /dev/null
+++ b/templates/personeel_mijn.html
@@ -0,0 +1,57 @@
+{% extends "base.html" %}
+{% from "_personeel.html" import subnav, status_badge, soort_label, periode with context %}
+
+{% block title %}Afwezigheden & activiteiten{% endblock %}
+{% block page_title %}Afwezigheden &amp; activiteiten{% endblock %}
+{% block main_class %}medium{% endblock %}
+
+{% block extra_css %}
+<style>
+    .new-grid { display: grid; grid-template-columns: repeat(3, 1fr); gap: 14px; margin-bottom: 20px; }
+    @media (max-width: 760px) { .new-grid { grid-template-columns: 1fr; } }
+    .new-card { display: flex; gap: 14px; align-items: center; padding: 18px; background: var(--surface);
+                border: 1px solid var(--border); border-radius: var(--radius-lg); box-shadow: var(--shadow);
+                text-decoration: none; color: var(--text); transition: transform .12s, box-shadow .12s, border-color .12s; }
+    .new-card:hover { transform: translateY(-2px); border-color: var(--primary-color); }
+    .new-card .ic { font-size: 28px; width: 50px; height: 50px; border-radius: 12px; display: grid; place-items: center; background: var(--primary-light); flex-shrink: 0; }
+    .new-card strong { display: block; }
+    .new-card span.sub { font-size: 13px; color: var(--text-muted); }
+    tr.past td { opacity: .6; }
+    tr.click { cursor: pointer; }
+</style>
+{% endblock %}
+
+{% block content %}
+{{ subnav('mijn') }}
+
+<div class="new-grid">
+    <a class="new-card" href="{{ url_for('personeel.nieuw', soort='afwezigheid') }}">
+        <span class="ic">🤒</span><span><strong>Afwezigheid melden</strong><span class="sub">Ziek of onverwacht afwezig</span></span></a>
+    <a class="new-card" href="{{ url_for('personeel.nieuw', soort='nascholing') }}">
+        <span class="ic">🎓</span><span><strong>Nascholing aanvragen</strong><span class="sub">Goedkeuring door de directie</span></span></a>
+    <a class="new-card" href="{{ url_for('personeel.nieuw', soort='uitstap') }}">
+        <span class="ic">🚌</span><span><strong>Uitstap aanvragen</strong><span class="sub">Met klassen en begeleiders</span></span></a>
+</div>
+
+<div class="card">
+    <h2 class="card-title">Mijn meldingen en aanvragen</h2>
+    <div class="table-wrap">
+        <table>
+            <thead><tr><th>Soort</th><th>Titel</th><th>Wanneer</th><th>Status</th></tr></thead>
+            <tbody>
+            {% for i in items %}
+                <tr class="click {{ 'past' if i.Tot_datum < vandaag }}" onclick="location.href='{{ url_for('personeel.detail', aid=i.ID) }}'">
+                    <td class="nowrap">{{ soort_label(i.Soort) }}</td>
+                    <td><a href="{{ url_for('personeel.detail', aid=i.ID) }}"><strong>{{ i.Titel }}</strong></a>
+                        {% if i.Ingediend_door %}<div class="muted small">gemeld door {{ i.Ingediend_door }}</div>{% endif %}</td>
+                    <td class="nowrap">{{ periode(i) }}</td>
+                    <td>{{ status_badge(i.Status) }}</td>
+                </tr>
+            {% else %}
+                <tr class="empty-row"><td colspan="4">Je hebt nog geen meldingen of aanvragen.</td></tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+</div>
+{% endblock %}
diff --git a/templates/personeel_nieuw.html b/templates/personeel_nieuw.html
new file mode 100644
index 0000000..16a7309
--- /dev/null
+++ b/templates/personeel_nieuw.html
@@ -0,0 +1,172 @@
+{% extends "base.html" %}
+{% from "_personeel.html" import subnav with context %}
+
+{% block title %}{{ SOORTEN[soort].label }}{% endblock %}
+{% block page_title %}{{ SOORTEN[soort].icoon }} {{ 'Afwezigheid melden' if soort == 'afwezigheid' else SOORTEN[soort].label ~ ' aanvragen' }}{% endblock %}
+{% block main_class %}medium{% endblock %}
+
+{% block extra_css %}
+<style>
+    .soort-switch { display: flex; gap: 8px; flex-wrap: wrap; margin-bottom: 18px; }
+    .soort-switch a { padding: 8px 14px; border-radius: 999px; border: 1px solid var(--border); background: #fff; text-decoration: none; color: var(--text); font-weight: 600; font-size: 14px; }
+    .soort-switch a.on { background: var(--primary-color); border-color: var(--primary-color); color: #fff; }
+    .grid2 { display: grid; grid-template-columns: 1fr 1fr; gap: 0 16px; }
+    .grid3 { display: grid; grid-template-columns: 1fr 1fr 1fr; gap: 0 16px; }
+    @media (max-width: 640px) { .grid2, .grid3 { grid-template-columns: 1fr; } }
+    .dagdeel { display: flex; gap: 6px; flex-wrap: wrap; }
+    .dagdeel label { display: inline-flex; align-items: center; gap: 6px; padding: 8px 12px; border: 1px solid var(--border); border-radius: var(--radius-sm); background: #fff; cursor: pointer; font-weight: 500; }
+    .dagdeel input:checked + span { font-weight: 700; color: var(--primary-color); }
+    .klassen-box { border: 1px solid var(--border); border-radius: var(--radius); padding: 10px; background: var(--surface-muted); }
+    .klassen-box input[type=search] { margin-bottom: 8px; }
+    .klassen { display: flex; flex-wrap: wrap; gap: 6px; max-height: 210px; overflow-y: auto; }
+    .klas { display: inline-flex; align-items: center; gap: 5px; padding: 4px 10px; border: 1px solid var(--border); border-radius: 999px; background: #fff; font-size: 13px; font-weight: 600; cursor: pointer; user-select: none; }
+    .klas input { width: 14px; height: 14px; }
+    .klas.on { background: var(--primary-light); border-color: var(--primary-color); color: var(--primary-color); }
+    .gekozen { font-size: 13px; color: var(--text-muted); margin-top: 6px; }
+    .info-note { font-size: 13px; color: var(--text-muted); background: var(--surface-muted); border-radius: var(--radius-sm); padding: 10px 12px; margin-bottom: 16px; }
+</style>
+{% endblock %}
+
+{% block content %}
+{{ subnav('') }}
+
+<div class="soort-switch">
+    {% for key, s in SOORTEN.items() %}
+        <a class="{{ 'on' if key == soort }}" href="{{ url_for('personeel.nieuw', soort=key) }}">{{ s.icoon }} {{ s.label }}</a>
+    {% endfor %}
+</div>
+
+<form class="card" method="POST" action="{{ url_for('personeel.nieuw') }}" onsubmit="showLoader('Versturen...')">
+    <input type="hidden" name="soort" value="{{ soort }}">
+
+    <div class="info-note">
+        {% if soort == 'afwezigheid' %}Het secretariaat ziet je afwezigheid meteen en krijgt een mail. Geen goedkeuring nodig.
+        {% elif soort == 'nascholing' %}De directie krijgt je aanvraag en kan goedkeuren, weigeren of een vraag stellen. Je krijgt een mail bij elke beslissing.
+        {% else %}De directie keurt de uitstap goed. Daarna ziet het secretariaat welke klassen en begeleiders weg zijn.{% endif %}
+    </div>
+
+    {% if is_secr %}
+    <div class="field">
+        <label for="namens">Namens leerkracht <span class="muted">(leeg = jezelf)</span></label>
+        <input type="email" id="namens" name="namens" value="{{ form.get('namens', '') }}" placeholder="voornaam.naam@school.be">
+    </div>
+    {% endif %}
+
+    {% if soort != 'afwezigheid' %}
+    <div class="field">
+        <label for="titel">{{ 'Naam van de nascholing' if soort == 'nascholing' else 'Bestemming / activiteit' }}</label>
+        <input type="text" id="titel" name="titel" required maxlength="255" value="{{ form.get('titel', '') }}"
+               placeholder="{{ 'bv. Differentiëren in de klas' if soort == 'nascholing' else 'bv. Bezoek Technopolis' }}">
+    </div>
+    {% else %}
+    <div class="field">
+        <label for="titel">Reden <span class="muted">(optioneel, enkel zichtbaar voor secretariaat en directie)</span></label>
+        <select id="titel" name="titel">
+            {% for r in ['Ziek', 'Familiale omstandigheden', 'Dokter / ziekenhuis', 'Overmacht', 'Andere'] %}
+                <option {{ 'selected' if form.get('titel') == r }}>{{ r }}</option>
+            {% endfor %}
+        </select>
+    </div>
+    {% endif %}
+
+    <div class="grid2">
+        <div class="field">
+            <label for="van">{{ 'Datum' if soort != 'afwezigheid' else 'Van' }}</label>
+            <input type="date" id="van" name="van" required value="{{ form.get('van', vandaag.isoformat()) }}" onchange="syncTot()">
+        </div>
+        <div class="field">
+            <label for="tot">Tot en met</label>
+            <input type="date" id="tot" name="tot" value="{{ form.get('tot', '') }}">
+        </div>
+    </div>
+
+    <div class="field">
+        <label>Wanneer</label>
+        <div class="dagdeel">
+            {% for key, label in DAGDELEN.items() %}
+            <label><input type="radio" name="dagdeel" value="{{ key }}" {{ 'checked' if form.get('dagdeel', 'dag') == key }} onchange="toggleUren()"><span>{{ label }}</span></label>
+            {% endfor %}
+        </div>
+    </div>
+    <div class="field" id="urenField" style="display:none">
+        <label for="lesuren">Lesuren</label>
+        <input type="text" id="lesuren" name="lesuren" maxlength="50" value="{{ form.get('lesuren', '') }}" placeholder="bv. 3-5 of 1, 2, 7">
+    </div>
+
+    {% if soort != 'afwezigheid' %}
+    <div class="grid2">
+        <div class="field">
+            <label for="locatie">Locatie</label>
+            <input type="text" id="locatie" name="locatie" maxlength="255" value="{{ form.get('locatie', '') }}">
+        </div>
+        <div class="field">
+            <label for="kost">Kost <span class="muted">(€, optioneel)</span></label>
+            <input type="text" id="kost" name="kost" inputmode="decimal" value="{{ form.get('kost', '') }}" placeholder="0,00">
+        </div>
+    </div>
+    {% endif %}
+
+    <div class="field">
+        <label>{{ 'Klassen die mee op uitstap gaan' if soort == 'uitstap' else 'Klassen waar je les hebt (voor vervanging)' }}</label>
+        <div class="klassen-box">
+            {% if klassen %}
+                <input type="search" placeholder="Zoek klas..." oninput="filterKlassen(this.value)">
+                <div class="klassen" id="klassen">
+                    {% set gekozen = form.getlist('klassen') if form else [] %}
+                    {% for k in klassen %}
+                    <label class="klas {{ 'on' if k in gekozen }}" data-k="{{ k|lower }}">
+                        <input type="checkbox" name="klassen" value="{{ k }}" {{ 'checked' if k in gekozen }} onchange="this.parentElement.classList.toggle('on', this.checked); telKlassen()">{{ k }}</label>
+                    {% endfor %}
+                </div>
+                <div class="gekozen" id="gekozen"></div>
+                <input type="text" name="klassen_extra" value="{{ form.get('klassen_extra', '') }}" placeholder="Andere groepen (optioneel, komma-gescheiden)" style="margin-top:8px">
+            {% else %}
+                <input type="text" name="klassen_extra" value="{{ form.get('klassen_extra', '') }}" placeholder="bv. 3A, 3B, 4ECWI">
+                <div class="gekozen">De klassenlijst uit Smartschool kon niet geladen worden; typ de klassen in.</div>
+            {% endif %}
+        </div>
+    </div>
+
+    {% if soort == 'uitstap' %}
+    <div class="field">
+        <label for="begeleiders">Andere begeleiders</label>
+        <input type="text" id="begeleiders" name="begeleiders" value="{{ form.get('begeleiders', '') }}" placeholder="bv. Els Janssens, Tom Vermeulen">
+        <div class="field-hint">Begeleiders verschijnen ook als afwezig in het dagoverzicht van het secretariaat.</div>
+    </div>
+    {% endif %}
+
+    <div class="field">
+        <label for="omschrijving">{{ 'Opmerking voor het secretariaat' if soort == 'afwezigheid' else 'Toelichting' }}</label>
+        <textarea id="omschrijving" name="omschrijving" placeholder="{{ 'bv. taken voor de klassen staan op Smartschool' if soort == 'afwezigheid' else 'Doel, programma, vervoer, ...' }}">{{ form.get('omschrijving', '') }}</textarea>
+    </div>
+
+    <div class="modal-footer" style="justify-content: space-between">
+        <a class="btn btn-ghost" href="{{ url_for('personeel.mijn') }}">Annuleren</a>
+        <button type="submit" class="btn-lg">{{ 'Melden' if soort == 'afwezigheid' else 'Aanvraag indienen' }}</button>
+    </div>
+</form>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    function toggleUren() {
+        const v = document.querySelector('input[name=dagdeel]:checked').value;
+        document.getElementById('urenField').style.display = v === 'uren' ? '' : 'none';
+    }
+    function syncTot() {
+        const van = document.getElementById('van'), tot = document.getElementById('tot');
+        if (!tot.value || tot.value < van.value) tot.value = van.value;
+        tot.min = van.value;
+    }
+    function filterKlassen(q) {
+        q = q.toLowerCase();
+        document.querySelectorAll('#klassen .klas').forEach(k => { k.style.display = k.dataset.k.includes(q) ? '' : 'none'; });
+    }
+    function telKlassen() {
+        const el = document.getElementById('gekozen'); if (!el) return;
+        const g = [...document.querySelectorAll('#klassen input:checked')].map(i => i.value);
+        el.textContent = g.length ? `Gekozen: ${g.join(', ')}` : '';
+    }
+    toggleUren(); syncTot(); telKlassen();
+</script>
+{% endblock %}
diff --git a/templates/pin.html b/templates/pin.html
new file mode 100644
index 0000000..80d0804
--- /dev/null
+++ b/templates/pin.html
@@ -0,0 +1,50 @@
+{% extends "base.html" %}
+
+{% block title %}Inloggen{% endblock %}
+{% block body_class %}auth-page{% endblock %}
+{% block header %}{% endblock %}
+{% block main_class %}auth-wrap{% endblock %}
+{% block flashes %}{% endblock %}
+
+{% block content %}
+<img class="auth-logo" src="{{ url_for('static', filename='pivot_logo.png') }}" alt="PIVOT – Platform voor de Inventarisatie en Verbinding tussen Onderwijs Tools">
+
+<form class="card auth-card" method="POST" action="{{ url_for('auth.login') }}">
+    <h2>🔐 Inloggen</h2>
+
+    {% with messages = get_flashed_messages(with_categories=true) %}
+      {% for category, message in messages %}
+        <div class="alert alert-{{ category if category != 'error' else 'danger' }}">{{ message }}</div>
+      {% endfor %}
+    {% endwith %}
+
+    {% if school_vast %}
+        <p class="muted" style="text-align:center;margin-top:-6px">🏫 {{ gekozen.naam }}</p>
+    {% endif %}
+
+    <div class="field">
+        <label for="username">Gebruikersnaam</label>
+        <input type="text" id="username" name="username" required autocomplete="username" autofocus>
+    </div>
+    <div class="field">
+        <label for="password">Wachtwoord</label>
+        <input type="password" id="password" name="password" required autocomplete="current-password">
+    </div>
+    <button type="submit" class="btn-block btn-lg">Aanmelden</button>
+
+    {% if google_aan %}
+    <div class="separator">of</div>
+
+    <a href="{{ url_for('auth.google_login', school=gekozen.code if school_vast else None) }}" class="google-btn" id="google-btn">
+        <img src="https://fonts.gstatic.com/s/i/productlogos/googleg/v6/24px.svg" alt="">
+        Inloggen met Google
+    </a>
+    {% endif %}
+</form>
+{% endblock %}
+
+{% block footer %}
+<footer class="app-footer">
+    PIVOT – Versie {{ version }} – Kristof Verbruggen
+</footer>
+{% endblock %}
diff --git a/templates/qr_code.html b/templates/qr_code.html
new file mode 100644
index 0000000..79203f6
--- /dev/null
+++ b/templates/qr_code.html
@@ -0,0 +1,53 @@
+{% extends "base.html" %}
+
+{% block title %}QR-generator{% endblock %}
+{% block page_title %}QR-codegenerator{% endblock %}
+{% block main_class %}narrow{% endblock %}
+
+{% block extra_css %}
+<style>
+    .steps { counter-reset: step; list-style: none; padding: 0; margin: 0; }
+    .steps > li { position: relative; padding-left: 44px; padding-bottom: 22px; }
+    .steps > li::before {
+        counter-increment: step; content: counter(step);
+        position: absolute; left: 0; top: 0;
+        width: 30px; height: 30px; border-radius: 50%;
+        display: grid; place-items: center;
+        background: var(--primary-light); color: var(--primary-color); font-weight: 700;
+    }
+    .steps h3 { margin: 3px 0 10px; }
+    .options-box { padding: 6px 14px; background: var(--surface-muted); border: 1px solid var(--border); border-radius: var(--radius); margin: 14px 0 18px; }
+    .options-box .check { padding: 8px 0; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <div>
+            <h2>💡 QR-codes maken</h2>
+            <p class="muted" style="margin:0">Maak eenvoudig QR-codes aan vanuit een Excel-bestand.</p>
+        </div>
+    </div>
+
+    <ol class="steps">
+        <li>
+            <h3>Download het sjabloon</h3>
+            <a href="{{ url_for('qr_generator.download_template') }}" class="btn btn-light">📥 Sjabloon (.xlsx)</a>
+        </li>
+        <li>
+            <h3>Upload je ingevulde bestand</h3>
+            <form action="{{ url_for('qr_generator.upload_file') }}" method="post" enctype="multipart/form-data">
+                <input type="file" name="file" accept=".xlsx, .xls" required>
+
+                <div class="options-box">
+                    <label class="check"><input type="checkbox" id="show_top" name="show_top" checked> Toon tekst boven QR-code</label>
+                    <label class="check"><input type="checkbox" id="show_bottom" name="show_bottom" checked> Toon tekst onder QR-code</label>
+                </div>
+
+                <button type="submit" class="btn-block btn-lg">🚀 Genereer QR-codes (ZIP)</button>
+            </form>
+        </li>
+    </ol>
+</div>
+{% endblock %}
diff --git a/templates/scholen.html b/templates/scholen.html
new file mode 100644
index 0000000..48181e0
--- /dev/null
+++ b/templates/scholen.html
@@ -0,0 +1,100 @@
+{% extends "base.html" %}
+
+{% block title %}Scholen{% endblock %}
+
+{% block page_title %}Scholen in PIVOT{% endblock %}
+
+{% block extra_css %}
+<style>
+    tr.groep-kop td { background: var(--surface-muted); padding: 0; }
+    tr.groep-kop button { all: unset; box-sizing: border-box; display: flex; align-items: center; gap: 10px; width: 100%;
+                          padding: 12px 14px; cursor: pointer; font-weight: 700; font-size: .82em; letter-spacing: .06em;
+                          text-transform: uppercase; color: var(--text-muted, #475569); }
+    tr.groep-kop button:hover { color: var(--primary-color); }
+    tr.groep-kop button:focus-visible { outline: 2px solid var(--primary-color); outline-offset: -2px; }
+    tr.groep-kop .pijl { display: inline-block; transition: transform .15s; }
+    tbody.dicht tr.groep-kop .pijl { transform: rotate(-90deg); }
+    tbody.dicht tr.school-rij { display: none; }
+    tr.groep-kop .aantal { font-weight: 600; letter-spacing: 0; text-transform: none; background: var(--surface);
+                           border: 1px solid var(--border); border-radius: 999px; padding: 1px 9px; }
+    td.school-naam { width: 100%; }
+    td.school-naam .badge { margin-left: 6px; }
+    td.koppelingen { white-space: nowrap; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>🏫 Scholen</h2>
+        <div class="actions">
+            <form method="POST" action="{{ url_for('scholen.alles_testen') }}" style="margin:0"
+                  onsubmit="showLoader('Koppelingen van alle scholen testen...')">
+                <button type="submit" class="btn-light" title="Test de koppelingen van alle actieve scholen">🩺 Alle scholen testen</button>
+            </form>
+            <a href="{{ url_for('scholen.nieuw') }}" class="btn btn-success">➕ Nieuwe school</a>
+        </div>
+    </div>
+
+    <div class="table-wrap">
+        <table>
+            {% for g in groepen %}
+            <tbody class="groep" data-groep="{{ g.code }}">
+                <tr class="groep-kop"><td colspan="3">
+                    <button type="button" aria-expanded="true"><span class="pijl">▾</span> {{ g.label }}
+                        <span class="aantal">{{ g.scholen|length }}</span></button>
+                </td></tr>
+            {% for s in g.scholen %}
+                <tr class="school-rij">
+                    <td class="school-naam">
+                        <strong>{{ s.naam }}</strong>
+                        {% if not s.actief %}<span class="badge badge-warning">inactief</span>{% endif %}
+                        {% if school and school.code == s.code %}<span class="badge badge-info">huidige</span>{% endif %}
+                    </td>
+                    <td class="koppelingen">
+                        {% for b in badges[s.code] %}
+                        <span class="badge {{ {'ok': 'badge-success', 'fout': 'badge-danger', 'ongetest': 'badge-warning'}.get(b.toestand, '') }}"
+                              title="{{ b.titel }}">{{ {'ok': '✓', 'fout': '✗', 'ongetest': '?'}.get(b.toestand, '–') }} {{ b.label }}</span>
+                        {% endfor %}
+                    </td>
+                    <td class="actions nowrap">
+                        {% if s.actief %}
+                        <a href="{{ url_for('scholen.wissel', code=s.code) }}" class="btn btn-sm btn-secondary" title="Werken in deze school">↪ Openen</a>
+                        {% endif %}
+                        <a href="{{ url_for('scholen.bewerken', code=s.code) }}" class="btn btn-sm btn-light">✏️ Bewerken</a>
+                        <form method="POST" action="{{ url_for('scholen.test', code=s.code) }}" style="display:inline;margin:0" onsubmit="showLoader('Verbindingen testen...')">
+                            <button type="submit" class="btn-sm btn-light">🩺 Testen</button>
+                        </form>
+                    </td>
+                </tr>
+            {% endfor %}
+            </tbody>
+            {% else %}
+            <tbody>
+                <tr class="empty-row"><td colspan="3">Nog geen scholen. Voeg er een toe, of importeer de oude config.ini met <code>python beheer.py importeer-config</code>.</td></tr>
+            </tbody>
+            {% endfor %}
+        </table>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    // Groepen in- en uitklappen; de keuze wordt in deze browser onthouden
+    document.querySelectorAll('tbody.groep').forEach(tb => {
+        const sleutel = 'pivot.scholen.dicht.' + tb.dataset.groep;
+        const knop = tb.querySelector('tr.groep-kop button');
+        const zet = dicht => {
+            tb.classList.toggle('dicht', dicht);
+            knop.setAttribute('aria-expanded', String(!dicht));
+        };
+        try { zet(localStorage.getItem(sleutel) === '1'); } catch (e) { /* geen opslag */ }
+        knop.addEventListener('click', () => {
+            const dicht = !tb.classList.contains('dicht');
+            zet(dicht);
+            try { localStorage.setItem(sleutel, dicht ? '1' : '0'); } catch (e) { /* negeren */ }
+        });
+    });
+</script>
+{% endblock %}
diff --git a/templates/school_bewerken.html b/templates/school_bewerken.html
new file mode 100644
index 0000000..5244632
--- /dev/null
+++ b/templates/school_bewerken.html
@@ -0,0 +1,201 @@
+{% extends "base.html" %}
+
+{% block title %}{{ 'Nieuwe school' if nieuw else school.naam }}{% endblock %}
+{% block page_title %}{{ 'Nieuwe school' if nieuw else 'Instellingen school' }}{% endblock %}
+
+{% block extra_css %}
+<style>
+    .veld-grid { display: grid; grid-template-columns: repeat(auto-fill, minmax(280px, 1fr)); gap: 0 20px; }
+    .veld-grid .field.breed { grid-column: 1 / -1; }
+    details.groep { margin-top: 20px; }
+    details.groep > summary { cursor: pointer; list-style: none; }
+    details.groep > summary::-webkit-details-marker { display: none; }
+    details.groep > summary h3 { display: inline; font-size: 1.05rem; }
+    details.groep > summary::after { content: ' ▸'; color: var(--text-muted); }
+    details.groep[open] > summary::after { content: ' ▾'; }
+    details.groep > .veld-grid { margin-top: 14px; }
+    .geheim-status { font-size: 12.5px; }
+    .wis-check { display: inline-flex; gap: 6px; align-items: center; font-size: 13px; color: var(--text-muted); margin-top: 4px; }
+    .wis-check input { width: auto; }
+    .sticky-acties { position: sticky; bottom: 0; background: var(--surface); padding: 14px 0 4px; border-top: 1px solid var(--border); margin-top: 20px; display: flex; gap: 10px; flex-wrap: wrap; }
+    textarea.mono { font-size: 12.5px; }
+</style>
+{% endblock %}
+
+{# Ingevulde waarde; is er nog niets ingevuld, dan staat de standaardwaarde al klaar in het veld. #}
+{% macro waarde(key, standaard='') -%}
+{%- if form.get('v_' ~ key) is not none -%}{{ form.get('v_' ~ key) }}
+{%- elif school and school.waarden.get(key) not in (none, '') -%}{{ school.waarden.get(key) }}
+{%- else -%}{{ standaard }}{%- endif -%}
+{%- endmacro %}
+
+{% block content %}
+<form method="POST" enctype="multipart/form-data" autocomplete="off"
+      action="{{ url_for('scholen.nieuw') if nieuw else (url_for('scholen.bewerken', code=school.code) if mag_alles and request.endpoint == 'scholen.bewerken' else url_for('scholen.mijn_school')) }}">
+
+<div class="card">
+    <div class="page-head">
+        <h2>🏫 {{ 'Nieuwe school' if nieuw else school.naam }}</h2>
+        {% if not nieuw %}
+        <div class="actions">
+            <button type="submit" form="testform" class="btn-sm btn-light">🩺 Verbindingen testen</button>
+        </div>
+        {% endif %}
+    </div>
+
+    {% if mag_alles %}
+    <div class="veld-grid">
+        <div class="field">
+            <label for="code">Code</label>
+            {% if nieuw %}
+            <input type="text" id="code" name="code" required pattern="[a-z0-9_-]{2,32}" value="{{ form.get('code', '') }}" placeholder="bv. kamxm">
+            <span class="field-hint">Korte, vaste afkorting (kleine letters). Kan later niet meer wijzigen.</span>
+            {% else %}
+            <input type="text" value="{{ school.code }}" readonly class="mono">
+            {% endif %}
+        </div>
+        <div class="field">
+            <label for="naam">Naam</label>
+            <input type="text" id="naam" name="naam" required value="{{ form.get('naam', school.naam if school else '') }}" placeholder="Koninklijk Atheneum ...">
+        </div>
+        <div class="field">
+            <label for="domeinen">E-maildomein(en)</label>
+            <input type="text" id="domeinen" name="domeinen" required value="{{ form.get('domeinen', school.domeinen|join(', ') if school else '') }}" placeholder="school.be, leerling.school.be">
+            <span class="field-hint">Hiermee wordt de school herkend bij Google-login. Het eerste domein is het hoofddomein (nieuwe accounts).</span>
+        </div>
+        <div class="field">
+            <label for="hostnamen">Eigen webadres(sen) <span class="muted">(optioneel)</span></label>
+            <input type="text" id="hostnamen" name="hostnamen" value="{{ form.get('hostnamen', school.hostnamen|join(', ') if school else '') }}" placeholder="pivot.school.be">
+            <span class="field-hint">Wie PIVOT via dit adres opent, komt meteen bij deze school terecht.</span>
+        </div>
+        <div class="field">
+            <label for="db_naam">Database</label>
+            <input type="text" id="db_naam" name="db_naam" required class="mono" value="{{ form.get('db_naam', school.db_naam if school else '') }}" placeholder="pivot_kamxm">
+            {% if not nieuw %}
+                {% if db_status == 'ok' %}
+                <span class="field-hint">✓ Database bestaat en heeft de PIVOT-tabellen.</span>
+                {% elif db_status in ('ontbreekt', 'leeg') %}
+                <span class="field-hint" style="color:var(--danger-text)">⚠️ {{ 'Deze database bestaat nog niet.' if db_status == 'ontbreekt' else 'Deze database heeft (nog) niet de PIVOT-tabellen.' }}</span>
+                <button type="submit" form="dbform" class="btn-sm btn-warning" style="margin-top:6px"
+                        onclick="return confirm('Database {{ school.db_naam }} aanmaken met de standaardstructuur 2026-27? Bestaande tabellen en gegevens blijven behouden.')">🗄️ Database nu aanmaken</button>
+                {% endif %}
+            {% endif %}
+        </div>
+        {% if nieuw %}
+        <div class="field">
+            <label for="kopieer_schema_van">Database aanmaken?</label>
+            <select id="kopieer_schema_van" name="kopieer_schema_van">
+                <option value="">Nee, de database bestaat al</option>
+                <option value="__standaard__" {% if form.get('kopieer_schema_van') == '__standaard__' %}selected{% endif %}>Ja, nieuwe lege PIVOT-database (standaardstructuur 2026-27)</option>
+                {% for s in andere_scholen %}
+                <option value="{{ s.code }}" {% if form.get('kopieer_schema_van') == s.code %}selected{% endif %}>Ja, kopie van {{ s.naam }} (met gegevens)</option>
+                {% endfor %}
+            </select>
+            <div id="kopieOpties" class="field-hint" style="display:none;margin-top:8px">
+                <label class="check-box" style="margin:0 0 4px"><input type="checkbox" name="kopie_koppelingen" value="1" style="width:auto"
+                    {% if not form or form.get('kopie_koppelingen') %}checked{% endif %}> Ook koppelingen en instellingen overnemen
+                    (Smartschool, Informat, Google-sleutel, …)</label>
+                <label class="check-box" style="margin:0 0 4px"><input type="checkbox" name="kopie_rechten" value="1" style="width:auto"
+                    {% if not form or form.get('kopie_rechten') %}checked{% endif %}> Ook de gebruikersrechten overnemen</label>
+                Alle tabellen en gegevens worden gekopieerd naar een <strong>nieuwe</strong> database.
+                <div class="alert alert-warning" style="margin:8px 0 0;font-size:13px">
+                    💡 <strong>Testkopie?</strong> Vink dan <em>School is actief</em> uit. Een actieve kopie met dezelfde koppelingen
+                    voert de geplande taken (afwezigheden, Skore, 2FA-opruiming) een tweede keer uit, op dezelfde Smartschool en
+                    Google-omgeving. Wordt het een echte nieuwe school, pas dan eerst de koppelingen aan en zet ze pas daarna actief.
+                </div>
+            </div>
+        </div>
+        <script>
+            (function () {
+                var sel = document.getElementById('kopieer_schema_van'), box = document.getElementById('kopieOpties');
+                function toon() { box.style.display = (sel.value && sel.value !== '__standaard__') ? '' : 'none'; }
+                sel.addEventListener('change', toon); toon();
+            })();
+        </script>
+        {% endif %}
+        <div class="field">
+            <label>&nbsp;</label>
+            <label class="check-box"><input type="checkbox" name="actief" value="1" style="width:auto" {% if (form.get('actief') if form else (school.actief if school else True)) %}checked{% endif %}> School is actief</label>
+        </div>
+    </div>
+    {% else %}
+    <p class="muted">Code <span class="mono">{{ school.code }}</span> · domein(en) {{ school.domeinen|join(', ') }} · database <span class="mono">{{ school.db_naam }}</span>.
+       Deze gegevens wijzigt de superbeheerder van de scholengroep.</p>
+    {% endif %}
+</div>
+
+{% for groep, titel in groepen %}
+  {% if groep not in enkel_super or mag_alles %}
+  <div class="card">
+    <details class="groep" {% if groep in ('algemeen', 'smartschool', 'informat', 'google') or nieuw %}open{% endif %} style="margin-top:0">
+      <summary><h3>{{ titel }}</h3></summary>
+
+      {% if groep == 'google' %}
+      <div class="field breed" style="margin-top:14px">
+          <label>Serviceaccount (JSON-sleutel)</label>
+          {% if school and school.google_sleutel %}
+              <p class="geheim-status"><span class="badge badge-success">✓ ingesteld</span>
+                 <span class="mono">{{ school.google_sleutel.client_email }}</span></p>
+              <p class="field-hint">Client-ID voor domeinbrede delegatie (Admin-console › Beveiliging › API-beheer):
+                 <strong class="mono">{{ school.google_sleutel.client_id }}</strong></p>
+              <label class="wis-check"><input type="checkbox" name="wis_google_sleutel" value="1"> sleutel verwijderen</label>
+          {% else %}
+              <p class="geheim-status"><span class="badge badge-warning">nog niet ingesteld</span></p>
+          {% endif %}
+          <input type="file" name="google_sleutel" accept=".json,application/json" style="margin-top:8px">
+          <span class="field-hint">Upload het JSON-bestand van het serviceaccount van deze school. Het wordt versleuteld bewaard en is nooit via de website op te vragen.</span>
+      </div>
+      {% endif %}
+
+      <div class="veld-grid">
+      {% for v in velden if v.groep == groep %}
+        <div class="field {{ 'breed' if v.soort == 'tekstvak' }}">
+          <label for="v_{{ v.key }}">{{ v.label }}</label>
+          {% if v.soort == 'geheim' %}
+              {% set ingesteld = school and school.waarden.get(v.key) %}
+              <input type="password" id="v_{{ v.key }}" name="v_{{ v.key }}" autocomplete="new-password"
+                     placeholder="{{ '•••••••• ingesteld – leeg laten = ongewijzigd' if ingesteld else 'niet ingesteld' }}">
+              {% if ingesteld %}
+              <label class="wis-check"><input type="checkbox" name="wis_{{ v.key }}" value="1"> wissen</label>
+              {% endif %}
+          {% elif v.soort == 'janee' %}
+              {% set aan = (school.get(v.key) if school else v.standaard) %}
+              <label class="check-box"><input type="checkbox" id="v_{{ v.key }}" name="v_{{ v.key }}" value="1" style="width:auto" {% if aan %}checked{% endif %}> Ja</label>
+          {% elif v.soort == 'keuze' %}
+              {% set gekozen = waarde(v.key) %}
+              <select id="v_{{ v.key }}" name="v_{{ v.key }}">
+                  <option value="">– kies –</option>
+                  {% for w, l in v.keuzes %}<option value="{{ w }}" {% if gekozen == w %}selected{% endif %}>{{ l }}</option>{% endfor %}
+              </select>
+          {% elif v.soort == 'tekstvak' %}
+              <textarea id="v_{{ v.key }}" name="v_{{ v.key }}" rows="5" class="mono">{{ waarde(v.key, v.standaard) }}</textarea>
+          {% else %}
+              <input type="{{ 'number' if v.soort == 'getal' else 'text' }}" id="v_{{ v.key }}" name="v_{{ v.key }}"
+                     value="{{ waarde(v.key, v.standaard) }}">
+          {% endif %}
+          {% if v.hulp %}<span class="field-hint">{{ v.hulp }}</span>{% endif %}
+        </div>
+      {% endfor %}
+      </div>
+    </details>
+  </div>
+  {% endif %}
+{% endfor %}
+
+<div class="sticky-acties">
+    <button type="submit" class="btn-success">💾 Opslaan</button>
+    {% if session.get('superbeheerder') %}
+    <a href="{{ url_for('scholen.overzicht') }}" class="btn btn-light">Annuleren</a>
+    {% else %}
+    <a href="{{ url_for('main.dashboard') }}" class="btn btn-light">Annuleren</a>
+    {% endif %}
+</div>
+</form>
+
+{% if not nieuw %}
+<form id="testform" method="POST" action="{{ url_for('scholen.test', code=school.code) }}" onsubmit="showLoader('Verbindingen testen...')"></form>
+{% if mag_alles %}
+<form id="dbform" method="POST" action="{{ url_for('scholen.database_aanmaken', code=school.code) }}" onsubmit="showLoader('Database aanmaken...')"></form>
+{% endif %}
+{% endif %}
+{% endblock %}
diff --git a/templates/school_test.html b/templates/school_test.html
new file mode 100644
index 0000000..99837e7
--- /dev/null
+++ b/templates/school_test.html
@@ -0,0 +1,40 @@
+{% extends "base.html" %}
+
+{% block title %}Verbindingstest{% endblock %}
+{% block page_title %}Verbindingstest{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head"><h2>🩺 {{ school.naam }}</h2></div>
+    <div class="table-wrap">
+        <table>
+            <thead><tr><th>Onderdeel</th><th>Resultaat</th><th>Details</th></tr></thead>
+            <tbody>
+            {% for onderdeel, ok, detail in resultaten %}
+                <tr>
+                    <td><strong>{{ onderdeel }}</strong></td>
+                    <td>
+                        {% if ok is none %}<span class="badge">niet ingesteld</span>
+                        {% elif ok %}<span class="badge badge-success">✓ OK</span>
+                        {% else %}<span class="badge badge-danger">✗ Fout</span>{% endif %}
+                    </td>
+                    <td class="small">{{ detail }}</td>
+                </tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+    <div style="margin-top:16px;display:flex;flex-wrap:wrap;gap:8px;align-items:center">
+        <form method="POST" action="{{ url_for('scholen.test', code=school.code) }}" style="margin:0;display:inline"
+              onsubmit="if (typeof showLoader === 'function') showLoader()">
+            <button type="submit" class="btn-secondary">🔄 Opnieuw testen</button>
+        </form>
+        {% if session.get('superbeheerder') %}
+        <a href="{{ url_for('scholen.bewerken', code=school.code) }}" class="btn btn-light">✏️ Instellingen</a>
+        <a href="{{ url_for('scholen.overzicht') }}" class="btn btn-light">← Alle scholen</a>
+        {% else %}
+        <a href="{{ url_for('scholen.mijn_school') }}" class="btn btn-light">← Instellingen</a>
+        {% endif %}
+    </div>
+</div>
+{% endblock %}
diff --git a/templates/sgr_groepen.html b/templates/sgr_groepen.html
new file mode 100644
index 0000000..a28cf46
--- /dev/null
+++ b/templates/sgr_groepen.html
@@ -0,0 +1,151 @@
+{% extends "base.html" %}
+
+{% block title %}SGR groepen{% endblock %}
+{% block page_title %}SGR groepen{% endblock %}
+{% block main_class %}wide{% endblock %}
+{% block loader_text %}Groepen ophalen uit Smartschool...{% endblock %}
+
+{% block extra_css %}
+<style>
+    .keuze { display: flex; gap: 8px; align-items: center; margin: 0; }
+    .keuze input { width: 240px; }
+    .tellers { display: flex; flex-wrap: wrap; gap: 8px; margin: 4px 0 6px; }
+    .tellers span { padding: 4px 12px; border-radius: 999px; background: var(--surface-muted); border: 1px solid var(--border); font-size: .88em; }
+    .tellers b { margin-left: 4px; }
+    .filter-bar { display: flex; flex-wrap: wrap; gap: 10px; align-items: center; margin: 12px 0; }
+    .filter-bar input[type=search] { flex: 0 1 340px; }
+    .groepen { display: grid; gap: 8px; }
+    details.groep { border: 1px solid var(--border); border-radius: var(--radius); background: var(--surface, #fff); }
+    details.groep[open] { border-color: var(--primary-color); }
+    details.groep > summary { display: flex; flex-wrap: wrap; align-items: center; gap: 10px; padding: 10px 14px;
+                              cursor: pointer; list-style: none; }
+    details.groep > summary::-webkit-details-marker { display: none; }
+    details.groep > summary::before { content: "▸"; color: var(--text-muted, #64748b); transition: transform .15s; }
+    details.groep[open] > summary::before { transform: rotate(90deg); }
+    .groep .gnaam { font-weight: 600; }
+    .groep .pad { font-size: .85em; color: var(--text-muted, #64748b); }
+    .groep .aantal { margin-left: auto; padding: 2px 10px; border-radius: 999px; background: var(--primary-light);
+                     color: var(--primary-color); font-weight: 700; font-size: .88em; white-space: nowrap; }
+    .groep .aantal.leeg { background: var(--surface-muted); color: var(--text-muted, #64748b); font-weight: 400; }
+    .groep .inhoud { padding: 0 14px 12px; }
+    .groep table { margin: 0; }
+    .rol { display: inline-block; padding: 1px 8px; border-radius: 999px; font-size: .85em; background: var(--surface-muted); }
+    .rol.Leerling { background: #dbeafe; color: #1d4ed8; }
+    .rol.Leerkracht { background: #dcfce7; color: #15803d; }
+    mark { background: #fef08a; padding: 0; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>👥 SGR groep in Smartschool</h2>
+        <div class="actions">
+            <form method="GET" action="{{ url_for('sgr_groepen.overzicht') }}" class="keuze" onsubmit="showLoader()">
+                <input type="text" name="groep" value="{{ groep }}" aria-label="Hoofdgroep" title="Naam of code van de Smartschool-groep">
+                <button type="submit" class="btn-light btn-sm">Tonen</button>
+            </form>
+            {% if groepen %}<a class="btn btn-light btn-sm" href="{{ url_for('sgr_groepen.export', groep=groep if groep != standaard else None) }}">⬇️ CSV</a>{% endif %}
+            <a class="btn btn-secondary btn-sm" href="{{ url_for('sgr_groepen.overzicht', groep=groep if groep != standaard else None, vernieuw=1) }}" onclick="showLoader()">🔄 Opnieuw ophalen</a>
+        </div>
+    </div>
+
+    {% if fout %}
+        <div class="alert alert-danger">{{ fout }}</div>
+    {% elif not groepen %}
+        <p class="muted">De groep <strong>{{ hoofd.naam }}</strong> bestaat in Smartschool, maar heeft geen subgroepen.</p>
+    {% else %}
+        <div class="tellers">
+            <span>Subgroepen <b>{{ groepen|length }}</b></span>
+            <span title="Elk lidmaatschap apart geteld">Lidmaatschappen <b>{{ aantal_leden }}</b></span>
+            <span title="Wie in meer dan één groep zit, telt één keer">Verschillende personen <b>{{ uniek }}</b></span>
+            {% set leeg = groepen|selectattr('leden', 'equalto', [])|selectattr('fout', 'none')|list|length %}
+            {% if leeg %}<span>Zonder leden <b>{{ leeg }}</b></span>{% endif %}
+        </div>
+        <div class="filter-bar">
+            <input type="search" id="zoek" placeholder="Zoek een groep of een lid (naam, gebruikersnaam)..." aria-label="Zoeken">
+            <button type="button" class="btn-light btn-sm" id="allesOpen">Alles openklappen</button>
+            <button type="button" class="btn-light btn-sm" id="allesDicht">Alles dichtklappen</button>
+            <span class="muted small" id="zoekTeller"></span>
+            <span class="muted small">Opgehaald uit Smartschool op {{ opgehaald }}</span>
+        </div>
+
+        <div class="groepen" id="groepen">
+        {% for g in groepen %}
+            <details class="groep" style="margin-left: {{ g.diepte * 24 }}px" data-groep="{{ (g.naam ~ ' ' ~ g.code ~ ' ' ~ g.omschrijving)|lower }}">
+                <summary>
+                    <span class="gnaam">{{ g.naam }}</span>
+                    {% if g.code and g.code != g.naam %}<span class="muted small">{{ g.code }}</span>{% endif %}
+                    {% if g.pad %}<span class="pad">in {{ g.pad|join(' › ') }}</span>{% endif %}
+                    {% if g.fout %}
+                        <span class="badge badge-danger" title="{{ g.fout }}">leden niet op te halen</span>
+                    {% else %}
+                        <span class="aantal {{ 'leeg' if not g.leden }}">{{ g.leden|length }} {{ 'lid' if g.leden|length == 1 else 'leden' }}{% if g.aantal_sub %} · {{ g.aantal_sub }} subgroep{{ 'en' if g.aantal_sub != 1 }}{% endif %}</span>
+                    {% endif %}
+                </summary>
+                <div class="inhoud">
+                    {% if g.omschrijving and g.omschrijving != g.naam %}<p class="muted small" style="margin:0 0 8px">{{ g.omschrijving }}</p>{% endif %}
+                    {% if g.fout %}
+                        <div class="alert alert-danger" style="margin:0">Leden konden niet opgehaald worden: {{ g.fout }}</div>
+                    {% elif not g.leden %}
+                        <p class="muted small" style="margin:0">Deze groep heeft momenteel geen rechtstreekse leden.</p>
+                    {% else %}
+                    <div class="table-wrap">
+                        <table>
+                            <thead><tr><th>Naam</th><th>Voornaam</th><th>Gebruikersnaam</th><th>Rol</th><th>E-mail</th></tr></thead>
+                            <tbody>
+                            {% for l in g.leden %}
+                                <tr class="lid" data-tekst="{{ (l.naam ~ ' ' ~ l.voornaam ~ ' ' ~ l.voornaam ~ ' ' ~ l.naam ~ ' ' ~ l.gebruikersnaam ~ ' ' ~ l.email)|lower }}">
+                                    <td><strong>{{ l.naam }}</strong></td>
+                                    <td>{{ l.voornaam }}</td>
+                                    <td>{{ l.gebruikersnaam }}</td>
+                                    <td>{% if l.rol %}<span class="rol {{ l.rol }}">{{ l.rol }}</span>{% endif %}</td>
+                                    <td class="small">{{ l.email }}</td>
+                                </tr>
+                            {% endfor %}
+                            </tbody>
+                        </table>
+                    </div>
+                    {% endif %}
+                </div>
+            </details>
+        {% endfor %}
+        </div>
+    {% endif %}
+    <p class="field-hint" style="margin-top:14px">Toont alle groepen onder <strong>{{ groep }}</strong> in Smartschool met hun huidige,
+        rechtstreekse leden. De standaard hoofdgroep ({{ standaard }}) stel je in via 🔌 Koppelingen › Smartschool.
+        Gegevens worden 10 minuten bewaard.</p>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    (function () {
+        const lijst = document.getElementById('groepen');
+        if (!lijst) return;
+        const groepen = Array.from(lijst.querySelectorAll('details.groep'));
+        const zoekveld = document.getElementById('zoek'), teller = document.getElementById('zoekTeller');
+        document.getElementById('allesOpen').onclick = () => groepen.forEach(d => { if (d.style.display !== 'none') d.open = true; });
+        document.getElementById('allesDicht').onclick = () => groepen.forEach(d => d.open = false);
+        zoekveld.addEventListener('input', () => {
+            const z = zoekveld.value.trim().toLowerCase();
+            let treffers = 0, zichtbaar = 0;
+            groepen.forEach(d => {
+                const naamTreffer = !z || d.dataset.groep.includes(z);
+                let lidTreffer = 0;
+                d.querySelectorAll('tr.lid').forEach(tr => {
+                    const ok = !z || naamTreffer || tr.dataset.tekst.includes(z);
+                    tr.style.display = ok ? '' : 'none';
+                    if (z && tr.dataset.tekst.includes(z)) lidTreffer++;
+                });
+                const toon = naamTreffer || lidTreffer > 0;
+                d.style.display = toon ? '' : 'none';
+                if (toon) zichtbaar++;
+                treffers += lidTreffer;
+                if (z) d.open = lidTreffer > 0;
+            });
+            teller.textContent = z ? `${zichtbaar} groep(en)` + (treffers ? `, ${treffers} lid/leden gevonden` : '') : '';
+        });
+    })();
+</script>
+{% endblock %}
diff --git a/templates/signpost_devices.html b/templates/signpost_devices.html
new file mode 100644
index 0000000..9fe9a02
--- /dev/null
+++ b/templates/signpost_devices.html
@@ -0,0 +1,61 @@
+{% extends "base.html" %}
+
+{% block title %}Signpost DB{% endblock %}
+{% block page_title %}Signpost-database{% endblock %}
+{% block loader_text %}Synchroniseren met Signpost...{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>📋 Signpost-toestellen</h2>
+        <div class="actions">
+            <form method="POST" action="{{ url_for('signpost_devices.sync_signpost') }}" style="margin:0" onsubmit="showLoader()">
+                <button type="submit" class="btn-secondary" title="Synchroniseer de lokale database met de live Signpost M4S-API">🔄 Sync met Signpost</button>
+            </form>
+        </div>
+    </div>
+
+    <form method="GET" action="{{ url_for('signpost_devices.signpost_database_overzicht') }}" class="search-bar">
+        <input type="text" name="query" placeholder="Zoek op Signpostnummer of serienummer..." value="{{ query or '' }}">
+        <button type="submit">🔍 Zoeken</button>
+    </form>
+
+    {% if message %}
+        <div class="alert">{{ message }}</div>
+    {% endif %}
+
+    {% if results %}
+        <div class="table-wrap">
+            <table>
+                <thead>
+                    <tr>
+                        <th>Signpostnummer</th>
+                        <th>Serienummer</th>
+                        <th>Model</th>
+                        <th class="text-right">Aankoopbedrag</th>
+                        <th>Aankoopdatum</th>
+                        <th>Garantie</th>
+                    </tr>
+                </thead>
+                <tbody>
+                {% for row in results %}
+                    <tr>
+                        <td><strong>{{ row['Signpostnummer'] if row['Signpostnummer'] is defined else row[0] }}</strong></td>
+                        <td class="mono">{{ row['Device_serienummer'] if row['Device_serienummer'] is defined else row[1] }}</td>
+                        <td>{{ row['Device_model'] if row['Device_model'] is defined else row[2] }}</td>
+                        <td class="text-right nowrap">
+                            {% set bedrag = row['Aankoopbedrag'] if row['Aankoopbedrag'] is defined else row[3] %}
+                            {% if bedrag %}€ {{ bedrag }}{% else %}-{% endif %}
+                        </td>
+                        <td class="nowrap">{{ row['Aankoopdatum'] if row['Aankoopdatum'] is defined else row[4] }}</td>
+                        <td>{{ row['Garantie'] if row['Garantie'] is defined else row[5] }}</td>
+                    </tr>
+                {% endfor %}
+                </tbody>
+            </table>
+        </div>
+    {% else %}
+        <p class="muted">Geen records gevonden in de database.</p>
+    {% endif %}
+</div>
+{% endblock %}
diff --git a/templates/skore.html b/templates/skore.html
new file mode 100644
index 0000000..4efc828
--- /dev/null
+++ b/templates/skore.html
@@ -0,0 +1,122 @@
+{% extends "base.html" %}
+
+{% block title %}Skore-synchronisatie{% endblock %}
+{% block page_title %}Skore-synchronisatie{% endblock %}
+{% block main_class %}medium{% endblock %}
+{% block head %}{% if loopt %}<meta http-equiv="refresh" content="20">{% endif %}{% endblock %}
+
+{% block extra_css %}
+<style>
+    .planning-grid { display: grid; grid-template-columns: repeat(auto-fit, minmax(170px, 1fr)); gap: 0 16px; }
+    .status-gestart, .status-bezig { background: var(--info-bg); color: var(--info-text); }
+    .status-voltooid { background: var(--success-bg); color: var(--success-text); }
+    .status-mislukt { background: var(--danger-bg); color: var(--danger-text); }
+    .melding { max-width: 360px; white-space: pre-wrap; word-break: break-word; }
+    .verborgen { display: none; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>🔁 Skore-synchronisatie</h2>
+        <div class="actions">
+            <form method="POST" action="{{ url_for('skore.start') }}" style="margin:0"
+                  onsubmit="return confirm('De Skore-synchronisatie nu starten in Smartschool?')">
+                <button type="submit" class="btn-success">▶️ Nu synchroniseren</button>
+            </form>
+        </div>
+    </div>
+    <p class="muted">Synchroniseert de klassen en leerlingen van Smartschool naar Skore (Smartschool-webservice
+        <span class="mono">startSkoreSync</span>). Smartschool voert de synchronisatie op de achtergrond uit;
+        PIVOT vraagt de status daarna zelf op tot de synchronisatie klaar is.</p>
+    {% if loopt %}<div class="alert alert-info" style="margin:12px 0 0">⏳ Er loopt een synchronisatie. Deze pagina ververst elke 20 seconden.</div>{% endif %}
+</div>
+
+{% if planning %}
+<div class="card">
+    <h3 class="card-title">🗓️ Automatisch synchroniseren</h3>
+    <form method="POST" action="{{ url_for('skore.planning') }}">
+        <div class="planning-grid">
+            <div class="field">
+                <label for="frequentie">Hoe vaak</label>
+                <select id="frequentie" name="frequentie" onchange="toonVelden()">
+                    {% for waarde, label in frequenties %}
+                    <option value="{{ waarde }}" {% if planning.Frequentie == waarde %}selected{% endif %}>{{ label }}</option>
+                    {% endfor %}
+                </select>
+            </div>
+            <div class="field veld-weekdag">
+                <label for="weekdag">Op</label>
+                <select id="weekdag" name="weekdag">
+                    {% for d in weekdagen %}<option value="{{ loop.index0 }}" {% if planning.Weekdag == loop.index0 %}selected{% endif %}>{{ d }}</option>{% endfor %}
+                </select>
+            </div>
+            <div class="field veld-dag">
+                <label for="dag_van_maand">Dag van de maand</label>
+                <select id="dag_van_maand" name="dag_van_maand">
+                    {% for d in range(1, 29) %}<option value="{{ d }}" {% if planning.Dag_van_maand == d %}selected{% endif %}>{{ d }}</option>{% endfor %}
+                </select>
+            </div>
+            <div class="field veld-tijd">
+                <label for="uur">Om</label>
+                <div style="display:flex; gap:6px; align-items:center">
+                    <select id="uur" name="uur" style="width:auto">
+                        {% for u in range(24) %}<option value="{{ u }}" {% if planning.Uur == u %}selected{% endif %}>{{ '%02d' % u }}</option>{% endfor %}
+                    </select> :
+                    <select name="minuut" style="width:auto">
+                        {% for m in range(0, 60, 15) %}<option value="{{ m }}" {% if planning.Minuut == m %}selected{% endif %}>{{ '%02d' % m }}</option>{% endfor %}
+                    </select>
+                </div>
+            </div>
+        </div>
+        <p class="field-hint" style="margin-top:0">
+            {% if volgende %}Volgende automatische synchronisatie: <strong>{{ volgende.strftime('%d-%m-%Y om %H:%M') }}</strong>.
+            {% else %}Er is geen automatische synchronisatie gepland.{% endif %}
+            PIVOT moet op dat moment draaien; een gemiste synchronisatie wordt nog tot 6 uur later ingehaald.
+        </p>
+        <button type="submit" class="btn-warning">💾 Planning opslaan</button>
+    </form>
+</div>
+{% endif %}
+
+<div class="card">
+    <h3 class="card-title">🕑 Laatste synchronisaties</h3>
+    <div class="table-wrap">
+        <table>
+            <thead><tr><th>Gestart</th><th>Door</th><th>Status</th><th>Melding</th><th class="actions"></th></tr></thead>
+            <tbody>
+            {% for r in log %}
+                <tr>
+                    <td class="nowrap">{{ r.Gestart.strftime('%d-%m-%Y %H:%M') }}</td>
+                    <td>{{ r.Door or '' }}{% if r.Manier == 'gepland' %} <span class="badge">gepland</span>{% endif %}</td>
+                    <td><span class="badge status-{{ r.Status|replace(' ', '-') }}">{{ r.Status }}</span></td>
+                    <td class="melding small">{{ r.Melding or '' }}{% if r.Service_ID %}<div class="muted">taak {{ r.Service_ID }}</div>{% endif %}</td>
+                    <td class="actions">
+                        {% if r.Service_ID %}
+                        <form method="POST" action="{{ url_for('skore.status', log_id=r.ID) }}" style="margin:0">
+                            <button type="submit" class="btn-sm btn-light">🔄 Status vernieuwen</button>
+                        </form>
+                        {% endif %}
+                    </td>
+                </tr>
+            {% else %}
+                <tr class="empty-row"><td colspan="5">Nog geen synchronisaties.</td></tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    function toonVelden() {
+        var f = document.getElementById('frequentie').value;
+        document.querySelectorAll('.veld-weekdag').forEach(function (e) { e.classList.toggle('verborgen', f !== 'wekelijks'); });
+        document.querySelectorAll('.veld-dag').forEach(function (e) { e.classList.toggle('verborgen', f !== 'maandelijks'); });
+        document.querySelectorAll('.veld-tijd').forEach(function (e) { e.classList.toggle('verborgen', f === 'uit'); });
+    }
+    toonVelden();
+</script>
+{% endblock %}
diff --git a/templates/smartschool_activiteit.html b/templates/smartschool_activiteit.html
new file mode 100644
index 0000000..3998a91
--- /dev/null
+++ b/templates/smartschool_activiteit.html
@@ -0,0 +1,282 @@
+{% extends "base.html" %}
+
+{% block title %}Co-accounts{% endblock %}
+{% block page_title %}Co-accounts{% endblock %}
+
+{% block extra_css %}
+<style>
+    .stats { display: grid; grid-template-columns: repeat(auto-fit, minmax(190px, 1fr)); gap: 16px; margin-bottom: 20px; }
+    .stat { padding: 18px 20px; }
+    .stat + .stat { margin-top: 0; }
+    .stat .val { font-size: 28px; font-weight: 800; line-height: 1.1; font-variant-numeric: tabular-nums; }
+    .stat .lbl { font-size: 12px; color: var(--text-muted); text-transform: uppercase; letter-spacing: .04em; font-weight: 600; margin-top: 4px; }
+    .stat .sub { font-size: 13px; color: var(--text-muted); }
+    .sync-bar { display: flex; flex-wrap: wrap; align-items: center; gap: 10px; }
+    .progress { flex: 1 1 200px; height: 8px; background: var(--surface-muted); border: 1px solid var(--border); border-radius: 999px; overflow: hidden; }
+    .progress > span { display: block; height: 100%; width: 0; background: var(--primary-color); transition: width .4s; }
+    .filterbalk { display: flex; flex-wrap: wrap; gap: 12px; align-items: center; margin-bottom: 12px; }
+    .filterbalk input[type=search] { flex: 1 1 280px; }
+    .filterbalk label.check-box { margin: 0; }
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+    td.nowrap { white-space: nowrap; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="stats">
+    <div class="card stat">
+        <div class="val">{{ nooit }}</div>
+        <div class="lbl">Nog nooit aangemeld</div>
+        {% if rows %}<div class="sub">van {{ rows|length }} co-accounts</div>{% endif %}
+    </div>
+    <div class="card stat">
+        <div class="val">{{ leerlingen }}</div>
+        <div class="lbl">Leerlingen met co-accounts</div>
+    </div>
+    <div class="card stat">
+        <div class="val" style="font-size:18px; padding-top:6px">{% if laatst %}{{ laatst.strftime('%d-%m-%Y %H:%M') }}{% else %}Nog nooit{% endif %}</div>
+        <div class="lbl">Opgehaald uit Smartschool</div>
+        <div class="sub">Automatisch één keer per dag</div>
+    </div>
+</div>
+
+{% if fout %}<div class="flash-message error"><span>{{ fout }}</span></div>{% endif %}
+{% if not ingesteld %}
+<div class="alert alert-warning">Smartschool is nog niet ingesteld voor deze school (🔌 Koppelingen › Smartschool).</div>
+{% endif %}
+
+<div class="card">
+    <div class="sync-bar">
+        <form method="POST" action="{{ url_for('smartschool.coaccount_ophalen') }}" style="margin:0">
+            <button type="submit" class="btn-secondary" id="syncBtn" {% if status.bezig or not ingesteld %}disabled{% endif %}>🔄 Nu ophalen uit Smartschool</button>
+        </form>
+        {% if rows %}<a class="btn btn-light" id="exportBtn" href="{{ url_for('smartschool.coaccount_export', nooit=1) }}">⬇️ CSV-export</a>{% endif %}
+        <div class="progress {% if not status.bezig %}hidden{% endif %}" id="syncProgress"><span id="syncProgressBar"></span></div>
+        <span class="muted small" id="syncText">
+            {% if status.bezig %}Bezig met ophalen…{% elif status.fout %}⚠️ {{ status.fout }}{% elif status.resultaat %}{{ status.resultaat }}{% endif %}
+        </span>
+    </div>
+</div>
+
+<div class="card">
+    <div class="filterbalk">
+        <input type="search" id="zoek" placeholder="Zoek op leerling, klas of co-account..." aria-label="Zoeken">
+        <label class="check-box"><input type="checkbox" id="enkelNooit" checked style="width:auto"> <span>Enkel nog nooit aangemeld</span></label>
+    </div>
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr>
+                    <th class="sorteer" data-kol="0">Klas <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="1">Leerling <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="2">Co-account <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="3">Type <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="4">E-mail <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="5">Laatste aanmelding <span class="pijl"></span></th>
+                    <th class="actions">Actie</th>
+                </tr>
+            </thead>
+            <tbody id="coBody">
+            {% for r in rows %}
+                <tr data-nooit="{{ '1' if not r.Laatste_login else '0' }}"
+                    data-zoek="{{ [r.Klas, r.Leerling_voornaam, r.Leerling_naam, r.Gebruikersnaam, r.Internnummer, r.Voornaam, r.Naam, r.Email]|select|join(' ')|lower }}">
+                    <td class="nowrap" data-sort="{{ r.Klas or '' }}">{{ r.Klas or '–' }}</td>
+                    <td data-sort="{{ (r.Leerling_naam or '') ~ ' ' ~ (r.Leerling_voornaam or '') }}"><strong>{{ r.Leerling_naam }}</strong> {{ r.Leerling_voornaam }}</td>
+                    <td data-sort="{{ (r.Naam or '') ~ ' ' ~ (r.Voornaam or '') }}">{{ r.Voornaam }} {{ r.Naam }}</td>
+                    <td data-sort="{{ r.Type or '' }}">{{ r.Type or '' }}</td>
+                    <td data-sort="{{ r.Email or '' }}">{{ r.Email or '' }}</td>
+                    <td class="nowrap" data-sort="{{ r.Laatste_login.isoformat() if r.Laatste_login else '' }}">
+                        {% if r.Laatste_login %}{{ r.Laatste_login.strftime('%d-%m-%Y %H:%M') }}{% else %}<span class="badge badge-warning">Nooit</span>{% endif %}
+                    </td>
+                    <td class="actions">
+                        <button type="button" class="btn-email btn-sm"
+                                data-voornaam="{{ r.Voornaam or '' }}" data-naam="{{ r.Naam or '' }}" data-email="{{ r.Email or '' }}"
+                                onclick="openEmailModal(this.dataset.voornaam, this.dataset.naam, this.dataset.email)">✉️ Bericht opstellen</button>
+                    </td>
+                </tr>
+            {% else %}
+                <tr class="empty-row"><td colspan="7">{% if status.bezig %}De co-accounts worden opgehaald uit Smartschool…{% else %}Nog geen co-accounts opgehaald.{% endif %}</td></tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+    <div class="tabel-voet">
+        <div style="display:flex;align-items:center;gap:14px;flex-wrap:wrap">
+            <div class="muted small" id="teller"></div>
+            <span id="perPagina"></span>
+        </div>
+        <nav class="paginering" id="paginering" aria-label="Pagina's"></nav>
+    </div>
+</div>
+{% endblock %}
+
+{% block modals %}
+<div id="emailModal" class="modal">
+    <div class="modal-content wide">
+        <span class="close" onclick="closeModal()">&times;</span>
+        <h3>E-mailherinnering bewerken</h3>
+        <p>Ontvanger: <strong id="displayEmail"></strong></p>
+
+        <div class="field">
+            <label for="emailSubject">Onderwerp</label>
+            <input type="text" id="emailSubject">
+        </div>
+        <div class="field">
+            <label for="emailBody">Bericht</label>
+            <textarea id="emailBody" style="min-height: 220px;"></textarea>
+        </div>
+
+        <div class="modal-footer">
+            <button type="button" class="btn-ghost" onclick="closeModal()">Annuleren</button>
+            <button type="button" class="btn-email" id="confirmSendBtn" onclick="executeSend()">✉️ Nu verzenden</button>
+        </div>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    let currentTargetData = {};
+
+    function openEmailModal(voornaam, naam, email) {
+        if (!email || email.trim() === "" || email === "None") {
+            alert("Dit co-account heeft geen e-mailadres ingesteld in Smartschool.");
+            return;
+        }
+        currentTargetData = { voornaam, naam, email };
+        document.getElementById('displayEmail').innerText = email;
+        document.getElementById('emailSubject').value = "Belangrijk: Uw Smartschool co-account";
+        document.getElementById('emailBody').value = `Beste ${voornaam} ${naam},\n\nWe merkten dat u al enige tijd niet meer bent ingelogd op uw Smartschool co-account. \n\nVia dit account kunt u de resultaten, agenda en afwezigheden van uw kind op de voet volgen. Wij raden u aan om regelmatig in te loggen om op de hoogte te blijven.\n\nIndien u problemen heeft met inloggen, kunt u contact opnemen met de ICT-dienst van de school.\n\nMet vriendelijke groeten,\nHet schoolteam`;
+        document.getElementById('emailModal').style.display = 'block';
+    }
+
+    function closeModal() { document.getElementById('emailModal').style.display = 'none'; }
+
+    window.onclick = function (event) {
+        if (event.target == document.getElementById('emailModal')) closeModal();
+    };
+
+    function executeSend() {
+        const subject = document.getElementById('emailSubject').value;
+        const message = document.getElementById('emailBody').value;
+        if (!subject || !message) {
+            alert("Onderwerp en bericht mogen niet leeg zijn.");
+            return;
+        }
+
+        showLoader();
+        fetch("{{ url_for('smartschool.send_reminder') }}", {
+            method: "POST",
+            headers: { "Content-Type": "application/json" },
+            body: JSON.stringify({
+                email: currentTargetData.email,
+                voornaam: currentTargetData.voornaam,
+                naam: currentTargetData.naam,
+                subject: subject,
+                message: message
+            })
+        })
+        .then(async response => {
+            const isJson = response.headers.get('content-type')?.includes('application/json');
+            const data = isJson ? await response.json() : null;
+            if (!response.ok) throw new Error((data && data.message) || response.statusText);
+            return data;
+        })
+        .then(() => {
+            hideLoader();
+            closeModal();
+            alert("E-mail succesvol verzonden!");
+        })
+        .catch(error => {
+            hideLoader();
+            console.error("Fetch error:", error);
+            alert("Er is een fout opgetreden: " + error.message);
+        });
+    }
+
+    // Zoeken, filter "nooit aangemeld", sorteren en pagineren in de browser
+    (function () {
+        const body = document.getElementById('coBody');
+        if (!body || body.querySelector('.empty-row')) return;
+        let PER_PAGINA = perPagina('coaccounts');
+        let pagina = 1, kol = null, op = true, zoek = '';
+        const nooit = document.getElementById('enkelNooit');
+        const zichtbaar = () => Array.from(body.rows).filter(tr =>
+            (!nooit.checked || tr.dataset.nooit === '1') && (!zoek || tr.dataset.zoek.includes(zoek)));
+        function toon() {
+            const exp = document.getElementById('exportBtn');
+            if (exp) exp.href = "{{ url_for('smartschool.coaccount_export') }}?" + new URLSearchParams({nooit: nooit.checked ? '1' : '0', zoek});
+            const rijen = zichtbaar();
+            const grootte = PER_PAGINA || Infinity;
+            const paginas = Math.max(1, Math.ceil(rijen.length / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER_PAGINA ? (pagina - 1) * PER_PAGINA : 0, tot = van + grootte;
+            Array.from(body.rows).forEach(tr => tr.style.display = 'none');
+            rijen.forEach((tr, i) => tr.style.display = (i >= van && i < tot) ? '' : 'none');
+            document.getElementById('teller').textContent = rijen.length
+                ? `${van + 1}–${Math.min(tot, rijen.length)} van ${rijen.length} co-account(s)` : 'Geen co-accounts gevonden';
+            const nav = document.getElementById('paginering');
+            nav.innerHTML = '';
+            if (paginas <= 1) return;
+            const knop = (label, p, actief, titel) => {
+                const b = document.createElement('button');
+                b.type = 'button'; b.textContent = label; b.className = 'btn-sm ' + (actief ? 'btn-secondary' : 'btn-light');
+                if (titel) b.title = titel;
+                b.onclick = () => { pagina = p; toon(); body.closest('.table-wrap').scrollIntoView({ block: 'start' }); };
+                nav.appendChild(b);
+            };
+            if (pagina > 1) { knop('«', 1, false, 'Eerste pagina'); knop('‹ Vorige', pagina - 1); }
+            for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+            if (pagina < paginas) { knop('Volgende ›', pagina + 1); knop('»', paginas, false, 'Laatste pagina'); }
+            const info = document.createElement('span');
+            info.className = 'muted small'; info.textContent = `pagina ${pagina} van ${paginas}`;
+            nav.appendChild(info);
+        }
+        document.getElementById('zoek').addEventListener('input', e => { zoek = e.target.value.trim().toLowerCase(); pagina = 1; toon(); });
+        nooit.addEventListener('change', () => { pagina = 1; toon(); });
+        document.querySelectorAll('th.sorteer').forEach(th => th.addEventListener('click', () => {
+            const k = +th.dataset.kol;
+            op = kol === k ? !op : (k !== 5);       // laatste aanmelding: eerst de recentste
+            kol = k;
+            document.querySelectorAll('th.sorteer').forEach(x => x.classList.remove('op', 'af'));
+            th.classList.add(op ? 'op' : 'af');
+            Array.from(body.rows).sort((a, b) => {
+                const x = a.cells[k].dataset.sort || '', y = b.cells[k].dataset.sort || '';
+                if (!x !== !y) return x ? -1 : 1;
+                const c = x.localeCompare(y, 'nl', { numeric: true, sensitivity: 'base' });
+                return op ? c : -c;
+            }).forEach(tr => body.appendChild(tr));
+            pagina = 1; toon();
+        }));
+        perPaginaKiezer(document.getElementById('perPagina'), 'coaccounts', n => { PER_PAGINA = n; pagina = 1; toon(); });
+        toon();
+    })();
+
+    // Voortgang van een lopende ophaling volgen; daarna de pagina vernieuwen
+    (function () {
+        const box = document.getElementById('syncProgress'), bar = document.getElementById('syncProgressBar');
+        const txt = document.getElementById('syncText'), btn = document.getElementById('syncBtn');
+        let bezig = {{ 'true' if status.bezig else 'false' }};
+        function tick() {
+            fetch("{{ url_for('smartschool.coaccount_status') }}").then(r => r.json()).then(s => {
+                if (s.bezig) {
+                    box.classList.remove('hidden'); btn.disabled = true;
+                    bar.style.width = (s.totaal ? Math.round(s.voortgang / s.totaal * 100) : 0) + '%';
+                    txt.textContent = s.totaal ? `Bezig: ${s.voortgang} van ${s.totaal}…` : 'Bezig met ophalen…';
+                    setTimeout(tick, 2000);
+                } else {
+                    window.location.reload();
+                }
+            }).catch(() => {});
+        }
+        if (bezig) tick();
+    })();
+
+</script>
+{% endblock %}
diff --git a/templates/smartschool_beheer.html b/templates/smartschool_beheer.html
new file mode 100644
index 0000000..26dc23f
--- /dev/null
+++ b/templates/smartschool_beheer.html
@@ -0,0 +1,180 @@
+{% extends "base.html" %}
+
+{% block title %}Smartschool beheer{% endblock %}
+{% block page_title %}Smartschool beheer{% endblock %}
+{% block main_class %}medium{% endblock %}
+
+{% block extra_css %}
+<style>
+    #coAccountModal { z-index: 3000; }
+    #passwordModal  { z-index: 4000; }   /* reset-venster altijd bovenop de co-accountlijst */
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head"><h2>🏫 Wachtwoord &amp; info</h2></div>
+
+    <form class="search-bar" method="POST" action="{{ url_for('/ss.smartschool') }}" onsubmit="showLoader()">
+        <input type="text" name="query" placeholder="Zoek op naam, voornaam, gebruikersnaam of internnummer..." value="{{ query or '' }}">
+        <button type="submit" class="btn-search">🔍 Zoeken</button>
+    </form>
+
+    {% if results %}
+        <div class="table-wrap">
+            <table>
+                <thead>
+                    <tr>
+                        <th>Internnummer</th>
+                        <th>Naam</th>
+                        <th>Gebruikersnaam</th>
+                        <th class="actions">Acties</th>
+                    </tr>
+                </thead>
+                <tbody>
+                {% for user in results %}
+                    <tr>
+                        <td><strong>{{ user.internnummer }}</strong></td>
+                        <td>{{ user.voornaam }} {{ user.naam }}</td>
+                        <td>{{ user.gebruikersnaam }}</td>
+                        <td class="actions">
+                            <button type="button" class="btn-danger btn-sm" onclick="openResetModal('{{ user.internnummer }}', '{{ user.voornaam }} {{ user.naam }}', 0)">🔑 Reset WW</button>
+                            <button type="button" class="btn-secondary btn-sm" onclick="viewCoAccounts('{{ user.gebruikersnaam }}')">👪 Co-accounts</button>
+                        </td>
+                    </tr>
+                {% endfor %}
+                </tbody>
+            </table>
+        </div>
+    {% elif query %}
+        <p class="muted">Geen resultaten gevonden voor "{{ query }}".</p>
+        <p class="muted small">Op een deel van een naam zoekt PIVOT in de leerlingenlijst. Staat die nog leeg,
+            haal dan eerst de leerlingen op via Leerlingen › Informat &amp; SS sync, of zoek op het volledige internnummer of de gebruikersnaam.</p>
+    {% endif %}
+</div>
+{% endblock %}
+
+{% block modals %}
+<div id="passwordModal" class="modal-overlay">
+    <div class="modal-content">
+        <span class="close" onclick="closeModal('passwordModal')">&times;</span>
+        <h3>Wachtwoord reset</h3>
+        <p id="displayUser" style="font-weight:600; color: var(--primary-color);"></p>
+        <div class="field">
+            <label for="modalPasswordInput">Nieuw wachtwoord</label>
+            <div class="input-group">
+                <input type="text" id="modalPasswordInput" placeholder="Nieuw wachtwoord">
+                <button type="button" class="btn-light" title="Willekeurig genereren" onclick="generateRandomPass()">🎲</button>
+            </div>
+        </div>
+        <label class="check-box">
+            <input type="checkbox" id="pdfCheckbox"> PDF genereren voor deze persoon
+        </label>
+        <div class="modal-footer">
+            <button type="button" class="btn-ghost" onclick="closeModal('passwordModal')">Annuleren</button>
+            <button type="button" onclick="submitPasswordReset()">Bevestig reset</button>
+        </div>
+    </div>
+</div>
+
+<div id="coAccountModal" class="modal-overlay">
+    <div class="modal-content wide">
+        <span class="close" onclick="closeModal('coAccountModal')">&times;</span>
+        <h3>Gekoppelde co-accounts</h3>
+        <div id="coAccountList"></div>
+        <div class="modal-footer">
+            <button type="button" onclick="closeModal('coAccountModal')">Sluiten</button>
+        </div>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    let currentTargetUser = "";
+    let currentResetType = 0;
+    let currentTargetName = "";
+
+    function closeModal(id) { document.getElementById(id).style.display = 'none'; }
+
+    function openResetModal(identifier, fullname, accType = 0) {
+        currentTargetUser = identifier;
+        currentResetType = accType;
+        currentTargetName = fullname;
+        document.getElementById('displayUser').innerText = fullname + (accType === 0 ? " (Leerling)" : " (Co-account)");
+        document.getElementById('modalPasswordInput').value = "";
+        document.getElementById('pdfCheckbox').checked = false;
+        document.getElementById('passwordModal').style.display = 'flex';
+    }
+
+    function generateRandomPass() {
+        const chars = "abcdefghjkmnpqrstuvwxyzABCDEFGHJKMNPQRSTUVWXYZ23456789";
+        let pass = "";
+        for (let i = 0; i < 10; i++) pass += chars.charAt(Math.floor(Math.random() * chars.length));
+        document.getElementById('modalPasswordInput').value = pass;
+    }
+
+    function submitPasswordReset() {
+        const newPass = document.getElementById('modalPasswordInput').value;
+        const genPdf = document.getElementById('pdfCheckbox').checked;
+        if (!newPass) return alert("Geen wachtwoord ingevuld!");
+
+        showLoader();
+        fetch("{{ url_for('/ss.smartschool_reset') }}", {
+            method: 'POST',
+            headers: {'Content-Type': 'application/x-www-form-urlencoded'},
+            body: `username=${encodeURIComponent(currentTargetUser)}&new_password=${encodeURIComponent(newPass)}&account_type=${currentResetType}&generate_pdf=${genPdf}&display_name=${encodeURIComponent(currentTargetName)}`
+        })
+        .then(res => {
+            const contentType = res.headers.get("content-type");
+            if (contentType && contentType.includes("application/pdf")) {
+                return res.blob().then(blob => ({ type: 'pdf', data: blob }));
+            }
+            return res.json().then(data => ({ type: 'json', data: data }));
+        })
+        .then(result => {
+            hideLoader();
+            if (result.type === 'pdf') {
+                const url = window.URL.createObjectURL(result.data);
+                const a = document.createElement('a');
+                a.href = url;
+                a.download = `Account_${currentTargetName}.pdf`;
+                document.body.appendChild(a);
+                a.click();
+                closeModal('passwordModal');
+            } else if (result.data.status === "success") {
+                alert("Wachtwoord succesvol aangepast!");
+                closeModal('passwordModal');
+            } else {
+                alert("Fout: " + result.data.message);
+            }
+        }).catch(() => { hideLoader(); alert("Fout bij verbinding."); });
+    }
+
+    function viewCoAccounts(username) {
+        showLoader();
+        fetch("{{ url_for('/ss.smartschool_coaccounts') }}", {
+            method: 'POST',
+            headers: {'Content-Type': 'application/x-www-form-urlencoded'},
+            body: `username=${encodeURIComponent(username)}`
+        })
+        .then(res => res.json())
+        .then(data => {
+            hideLoader();
+            let html = '<div class="table-wrap"><table><thead><tr><th>Relatie</th><th>Naam</th><th class="actions">Actie</th></tr></thead><tbody>';
+            data.accounts.forEach(acc => {
+                const fullName = `${acc.voornaam} ${acc.naam}`;
+                html += `<tr>
+                    <td>${acc.type}</td>
+                    <td>${fullName}</td>
+                    <td class="actions"><button type="button" class="btn-danger btn-sm" onclick="openResetModal('${acc.parent_internnummer}', '${fullName}', ${acc.index})">🔑 Reset</button></td>
+                </tr>`;
+            });
+            html += '</tbody></table></div>';
+            document.getElementById('coAccountList').innerHTML = html;
+            document.getElementById('coAccountModal').style.display = 'flex';
+        })
+        .catch(() => { hideLoader(); alert("Fout bij ophalen co-accounts."); });
+    }
+</script>
+{% endblock %}
diff --git a/templates/template_leerkracht.html b/templates/template_leerkracht.html
new file mode 100644
index 0000000..49641b0
--- /dev/null
+++ b/templates/template_leerkracht.html
@@ -0,0 +1,56 @@
+<!DOCTYPE html>
+<html>
+<head>
+    <style>
+        body { font-family: Helvetica, Arial, sans-serif; color: #333; line-height: 1.5; padding: 20px; }
+        .header { text-align: center; border-bottom: 2px solid #2c3e50; margin-bottom: 20px; }
+        .content { margin-bottom: 30px; }
+        .account-box { background: #f2f2f2; border: 1px solid #ccc; padding: 15px; margin: 20px 0; }
+        
+        /* Layout voor de handtekeningen */
+        .signature-table { width: 100%; margin-top: 40px; border: none; }
+        .signature-cell { width: 50%; vertical-align: top; border: none; }
+        
+        .footer-text { margin-top: 20px; font-style: italic; }
+    </style>
+</head>
+<body>
+    <div class="header">
+        <h1>Nieuw Google Account</h1>
+    </div>
+
+    <div class="content">
+        <p>Beste <strong>{{ naam }}</strong>,</p>
+        
+        <p>Je account voor de schoolomgeving is aangemaakt op {{ datum }}.</p>
+        
+        <div class="account-box">
+            <p><strong>E-mailadres:</strong> {{ email }}</p>
+            <p><strong>Tijdelijk wachtwoord:</strong> {{ wachtwoord }}</p>
+        </div>
+
+        <p>Hiermee kan je gebruikmaken van alle schoolgebonden google toepassingen (Drive, Gmail, Classroom, Agenda...).</p>
+        
+        <p><i>Let op: Je zult gevraagd worden om je wachtwoord te wijzigen bij de eerste keer inloggen.</i></p>
+        
+        <p class="footer-text">Heb je nog vragen, spring gerust binnen of mail me je vraag!</p>
+    </div>
+
+    <p>Met vriendelijke groeten,</p>
+
+    <table class="signature-table">
+        <tr>
+            <td class="signature-cell">
+                <strong>K. Verbruggen</strong><br>
+                ICT coördinator<br>
+                <a href="mailto:{{ contact_email }}">{{ contact_email }}</a>
+            </td>
+            <td class="signature-cell">
+                <strong>B. Elewaut</strong><br>
+                Directeur<br>
+                <a href="mailto:directie@kamkersem.be">directie@kamkersem.be</a>
+            </td>
+        </tr>
+    </table>
+</body>
+</html>
\ No newline at end of file
diff --git a/templates/toestellen.html b/templates/toestellen.html
new file mode 100644
index 0000000..b1baa6d
--- /dev/null
+++ b/templates/toestellen.html
@@ -0,0 +1,416 @@
+{% extends "base.html" %}
+
+{% block title %}Chromebooks{% endblock %}
+{% block page_title %}Chromebooks{% endblock %}
+{% block main_class %}wide{% endblock %}
+
+{% block extra_css %}
+<style>
+    /* Knoppen naast elkaar; enkel op een smal scherm lopen ze door naar een tweede regel */
+    .knoppen { display: flex; flex-wrap: wrap; gap: 6px; justify-content: flex-end; min-width: 200px; }
+    .knoppen > button { white-space: nowrap; margin: 0; }
+    /* Garantie en Opmerking zijn standaard verborgen */
+    .col-garantie, .col-opmerking { display: none; }
+    .toggle-garantie-label, .toggle-opmerking-label { display: none !important; }
+    .toggle-garantie-label.shown, .toggle-opmerking-label.shown { display: inline-flex !important; }
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+    [hidden] { display: none !important; }
+    .blok-badge { margin-left: 4px; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <div class="page-head">
+        <h2>💻 Alle toestellen</h2>
+        <form method="POST" action="{{ url_for('devices.google_import') }}" style="margin:0"
+              onsubmit="return confirm('Alle Chromebooks uit Google Admin ophalen? Nieuwe serienummers worden toegevoegd, ontbrekende modellen aangevuld. Er wordt niets verwijderd of overschreven.') && (showLoader('Chromebooks ophalen bij Google...'), true)">
+            <button type="submit" class="btn-sm btn-secondary">🔄 Chromebooks ophalen uit Google</button>
+        </form>
+    </div>
+
+    <form class="search-bar" method="POST" action="{{ url_for('devices.inventaris_toestellen') }}">
+        <input type="text" name="query" placeholder="Zoek op toestelnummer, serienummer, ..." value="{{ query or '' }}">
+        <button type="submit">🔍 Zoeken</button>
+    </form>
+
+    {% if message %}
+        <div class="alert">{{ message }}</div>
+    {% endif %}
+
+    {% if results %}
+        <div class="column-toggles" id="column-toggles">
+            <label><input type="checkbox" id="toggle-kamxm-nummer" checked onchange="toggleColumn('col-kamxm-nummer')"> Toestelnummer</label>
+            <label><input type="checkbox" id="toggle-signpostnummer" checked onchange="toggleColumn('col-signpostnummer')"> Signpostnummer</label>
+            <label><input type="checkbox" id="toggle-serienummer" checked onchange="toggleColumn('col-serienummer')"> Serienummer</label>
+            <label><input type="checkbox" id="toggle-type" checked onchange="toggleColumn('col-type')"> Type</label>
+            <label class="toggle-garantie-label"><input type="checkbox" id="toggle-garantie" onchange="toggleColumn('col-garantie')"> Garantie</label>
+            <label class="toggle-opmerking-label"><input type="checkbox" id="toggle-opmerking" onchange="toggleColumn('col-opmerking')"> Opmerking</label>
+            <label><input type="checkbox" id="toggle-status" checked onchange="toggleColumn('col-status')"> Status</label>
+            <label><input type="checkbox" id="toggle-bewerken" checked onchange="toggleColumn('col-bewerken')"> Bewerken</label>
+        </div>
+
+        <div class="table-wrap">
+            <table>
+                <thead>
+                    <tr>
+                        <th class="col-kamxm-nummer sorteer" data-kol="0">Toestelnummer <span class="pijl"></span></th>
+                        <th class="col-signpostnummer sorteer" data-kol="1">Signpostnummer <span class="pijl"></span></th>
+                        <th class="col-serienummer sorteer" data-kol="2">Serienummer <span class="pijl"></span></th>
+                        <th class="col-type sorteer" data-kol="3">Type <span class="pijl"></span></th>
+                        <th class="col-garantie sorteer" data-kol="4">Garantie <span class="pijl"></span></th>
+                        <th class="col-opmerking sorteer" data-kol="5">Opmerking <span class="pijl"></span></th>
+                        <th class="col-status sorteer" data-kol="6">Status <span class="pijl"></span></th>
+                        <th class="actions" aria-label="Acties"></th>
+                        <th class="col-bewerken actions" aria-label="Bewerken"></th>
+                    </tr>
+                </thead>
+                <tbody id="toestelBody">
+                {% for row in results %}
+                    {% set g = (row['Garantie'] or '').split('-') %}
+                    <tr>
+                        <td class="col-kamxm-nummer" data-sort="{{ row['KAMXM_nummer'] or '' }}"><strong>{{ row['KAMXM_nummer'] or '' }}</strong></td>
+                        <td class="col-signpostnummer" data-sort="{{ row['Signpostnummer'] or '' }}">{{ row['Signpostnummer'] or '' }}</td>
+                        <td class="col-serienummer" data-sort="{{ row['Serienummer'] or '' }}">{{ row['Serienummer'] or '' }}</td>
+                        <td class="col-type" data-sort="{{ row['Type'] or '' }}">{{ row['Type'] or '' }}</td>
+                        <td class="col-garantie" data-sort="{{ (g[2] ~ '-' ~ g[1] ~ '-' ~ g[0]) if g|length == 3 else '' }}">{{ row['Garantie'] or '' }}</td>
+                        <td class="col-opmerking" data-sort="{{ row['Opmerking'] or '' }}">{{ row['Opmerking'] or '' }}</td>
+                        <td class="col-status" data-sort="{{ row['Status'] or 'Beschikbaar' }}">
+                            {% if row['Status'] == 'Defect' %}<span class="badge badge-danger">🛠️ Defect</span>
+                            {% elif row['Status'] == 'Uitgeleend' %}<span class="badge badge-info">🧑‍💻 Uitgeleend</span>
+                            {% else %}<span class="badge badge-success">✅ Beschikbaar</span>
+                            {% endif %}
+                            <span class="badge badge-danger blok-badge" {{ '' if row['Geblokkeerd']|int == 1 else 'hidden' }}>🔒 Geblokkeerd</span>
+                        </td>
+                        <td class="actions">
+                            <span class="knoppen">
+                            <button type="button" class="btn-sm" onclick="openStatusModal('{{ row['Toestel_ID'] }}', '{{ query }}', '{{ row['KAMXM_nummer'] or row['Serienummer'] or '' }}')">Wijzig status</button>
+                            {% if mag('toestel_blokkeren') and row['Serienummer'] %}
+                            {% set blok = row['Geblokkeerd']|int == 1 %}
+                            <button type="button" class="btn-sm blok-knop {{ 'btn-success' if blok else 'btn-danger' }}"
+                                    data-id="{{ row['Toestel_ID'] }}" data-label="{{ row['KAMXM_nummer'] or row['Serienummer'] }}"
+                                    data-geblokkeerd="{{ 1 if blok else 0 }}" onclick="wisselBlokkering(this)">{{ '🔓 Deblokkeren' if blok else '🔒 Blokkeren' }}</button>
+                            {% endif %}
+                            {% if row['Serienummer'] %}
+                            <button type="button" class="btn-sm btn-light" title="Wie gebruikte dit toestel? (Google Admin)"
+                                    data-serie="{{ row['Serienummer'] }}" data-label="{{ row['KAMXM_nummer'] or row['Serienummer'] }}"
+                                    onclick="openGoogleInfo(this)">👤 Gebruik</button>
+                            {% endif %}
+                            <button type="button" class="btn-sm btn-light" title="Welke leerlingen hadden dit toestel?"
+                                    data-id="{{ row['Toestel_ID'] }}" data-label="{{ row['KAMXM_nummer'] or row['Serienummer'] or '' }}"
+                                    onclick="openToestelHistorie(this)">🕑 Historie</button>
+                            </span>
+                        </td>
+                        <td class="col-bewerken actions">
+                            <button type="button" class="btn-bewerk btn-sm"
+                                data-kamxm-key="{{ row['Toestel_ID'] }}"
+                                data-serienummer="{{ row['Serienummer'] or '' }}"
+                                data-kamxm="{{ row['KAMXM_nummer'] or '' }}"
+                                data-signpost="{{ row['Signpostnummer'] or '' }}"
+                                data-type="{{ row['Type'] or '' }}"
+                                data-garantie="{{ row['Garantie'] or '' }}"
+                                data-opmerking="{{ row['Opmerking'] or '' }}"
+                                onclick="openEditModalFromButton(this)">✏️ Bewerken</button>
+                        </td>
+                    </tr>
+                {% endfor %}
+                </tbody>
+            </table>
+        </div>
+        <div class="tabel-voet">
+            <div style="display:flex;align-items:center;gap:14px;flex-wrap:wrap">
+                <div class="muted small" id="toestelTeller"></div>
+                <span id="toestellenPerPagina"></span>
+            </div>
+            <nav class="paginering" id="toestelPaginering" aria-label="Pagina's"></nav>
+        </div>
+    {% elif query %}
+        <p class="muted">Geen resultaten gevonden voor "{{ query }}".</p>
+    {% endif %}
+</div>
+{% endblock %}
+
+{% block modals %}
+<div id="statusModal" class="modal">
+    <div class="modal-content">
+        <span class="close" onclick="document.getElementById('statusModal').style.display='none'">&times;</span>
+        <h3 id="modalTitle">Status wijzigen: <span id="modalkamxm_nummer"></span></h3>
+        <form id="statusForm" method="POST" action="{{ url_for('devices.wijzig_status') }}">
+            <input type="hidden" name="toestel_id" id="modalHiddenkamxm_nummer">
+            <input type="hidden" name="query" id="modalHiddenQuery" value="{{ query or '' }}">
+            <input type="hidden" name="new_status" id="modalHiddenStatus">
+            <button type="button" class="status-button status-success" id="btn-beschikbaar" onclick="submitStatus('Beschikbaar')">✅ Beschikbaar</button>
+            <button type="button" class="status-button status-info" id="btn-uitgeleend" onclick="submitStatus('Uitgeleend')">🧑‍💻 Uitgeleend</button>
+            <button type="button" class="status-button status-danger" id="btn-defect" onclick="submitStatus('Defect')">🛠️ Defect</button>
+        </form>
+    </div>
+</div>
+
+<div id="googleInfoModal" class="modal">
+    <div class="modal-content wide">
+        <span class="close" onclick="document.getElementById('googleInfoModal').style.display='none'">&times;</span>
+        <h3>👤 Gebruik van toestel <span id="giTitel"></span></h3>
+        <div id="giInhoud"><p class="muted">Gegevens ophalen bij Google…</p></div>
+    </div>
+</div>
+
+<div id="historieModal" class="modal">
+    <div class="modal-content wide">
+        <span class="close" onclick="document.getElementById('historieModal').style.display='none'">&times;</span>
+        <h3>🕑 Eigenaars van toestel <span id="thTitel"></span></h3>
+        <div id="thInhoud"><p class="muted">Laden...</p></div>
+    </div>
+</div>
+
+<div id="editModal" class="modal">
+    <div class="modal-content">
+        <span class="close" onclick="document.getElementById('editModal').style.display='none'">&times;</span>
+        <h3>Bewerk toestel: <span id="editModalkamxm_nummerTitle"></span></h3>
+        <form id="editForm" method="POST" action="{{ url_for('devices.bewerk_toestel') }}">
+            <input type="hidden" name="toestel_id" id="editHiddenkamxm_nummerKey">
+            <input type="hidden" name="query" id="editHiddenQuery" value="{{ query or '' }}">
+            <div class="field"><label>Toestelnummer</label><input type="text" name="schooleigen_id" id="edit_kamxm_nummer_display"></div>
+            <div class="field"><label>Serienummer</label><input type="text" name="serienummer" id="edit_serienummer"></div>
+            <div class="field"><label>Signpostnummer</label><input type="text" name="signpostnummer" id="edit_signpostnummer"></div>
+            <div class="field"><label>Type</label><input type="text" name="type" id="edit_type"></div>
+            <div class="field"><label>Garantie tot</label><input type="text" name="garantie" id="edit_garantie" placeholder="dd-mm-jjjj"></div>
+            <div class="field"><label>Opmerking</label><textarea name="opmerking" id="edit_opmerking"></textarea></div>
+            <button type="submit" class="btn-block">💾 Gegevens opslaan</button>
+        </form>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<style>
+    #giInhoud h4 { margin: 16px 0 6px; font-size: .95rem; }
+    #giInhoud table { width: 100%; border-collapse: collapse; font-size: .92rem; }
+    #giInhoud td, #giInhoud th { padding: 6px 8px; border-bottom: 1px solid var(--border); text-align: left; }
+    .gi-meta { display: grid; grid-template-columns: repeat(auto-fit, minmax(170px, 1fr)); gap: 8px 16px; font-size: .9rem; }
+    .gi-meta div span { display: block; color: var(--text-muted); font-size: .78rem; text-transform: uppercase; letter-spacing: .03em; }
+    .gi-balk { display: inline-block; height: 8px; border-radius: 4px; background: var(--primary-color); vertical-align: middle; margin-right: 6px; }
+</style>
+<script>
+    function giEsc(t) { return String(t ?? '').replace(/[&<>"']/g, c => ({'&':'&amp;','<':'&lt;','>':'&gt;','"':'&quot;',"'":'&#39;'}[c])); }
+    function giDatum(iso) {
+        if (!iso) return 'onbekend';
+        const d = new Date(iso);
+        return isNaN(d) ? iso : d.toLocaleString('nl-BE', { dateStyle: 'short', timeStyle: 'short' });
+    }
+    function giDuur(min) { return min >= 60 ? `${Math.floor(min / 60)} u ${String(min % 60).padStart(2, '0')}` : `${min} min`; }
+
+    const TOESTEL_HISTORIE_URL = {{ url_for('devices.toestel_historie', toestel_id=0)|tojson }}.replace(/0$/, '');
+    function thDuur(dagen) {
+        if (dagen == null) return '';
+        if (dagen < 31) return dagen + ' dag' + (dagen === 1 ? '' : 'en');
+        const m = Math.round(dagen / 30.44);
+        return m < 12 ? m + ' maand' + (m === 1 ? '' : 'en') : (dagen / 365.25).toFixed(1).replace('.', ',') + ' jaar';
+    }
+    function openToestelHistorie(knop) {
+        const venster = document.getElementById('historieModal'), inhoud = document.getElementById('thInhoud');
+        document.getElementById('thTitel').textContent = knop.dataset.label;
+        inhoud.innerHTML = '<p class="muted">Laden...</p>';
+        venster.style.display = 'block';
+        fetch(TOESTEL_HISTORIE_URL + encodeURIComponent(knop.dataset.id), { credentials: 'same-origin' })
+            .then(r => r.json()).then(res => {
+                const e = res.eigenaars || [];
+                if (!e.length) { inhoud.innerHTML = '<p class="muted">Dit toestel werd nog nooit aan een leerling uitgedeeld.</p>'; return; }
+                inhoud.innerHTML = `<p class="muted small">${e.length} eigenaar(s) in totaal</p>
+                    <div class="table-wrap"><table><thead><tr><th>Internnummer</th><th>Leerling</th><th>Gebruikersnaam</th>
+                    <th>Gekregen</th><th>Ingeleverd</th><th>Duur</th></tr></thead><tbody>`
+                    + e.map(x => `<tr${x.huidig ? ' style="background:var(--primary-light)"' : ''}>
+                        <td><strong>${giEsc(x.internnummer)}</strong></td><td>${giEsc(x.naam)}</td><td>${giEsc(x.gebruikersnaam)}</td>
+                        <td style="white-space:nowrap">${giEsc(x.van)}</td>
+                        <td style="white-space:nowrap">${x.huidig ? '<span class="badge badge-success">nu in gebruik</span>' : giEsc(x.tot)}${x.geblokkeerd && x.huidig ? ' <span class="badge badge-danger">🔒</span>' : ''}</td>
+                        <td style="white-space:nowrap">${thDuur(x.dagen)}</td></tr>`).join('')
+                    + '</tbody></table></div>';
+            }).catch(() => { inhoud.innerHTML = '<div class="alert alert-danger">Kon de historie niet ophalen.</div>'; });
+    }
+    window.addEventListener('click', e => { if (e.target.id === 'historieModal') e.target.style.display = 'none'; });
+
+    // Blokkeren / deblokkeren in Google zonder de pagina te herladen (zoekopdracht, sortering en pagina blijven)
+    const BLOKKEER_URL = {{ url_for('devices.toestel_blokkeren')|tojson }};
+    function wisselBlokkering(knop) {
+        const blokkeren = knop.dataset.geblokkeerd !== '1';
+        const vraag = blokkeren
+            ? `Chromebook ${knop.dataset.label} blokkeren in Google Admin?\nDe leerling kan het toestel dan niet meer gebruiken.`
+            : `Chromebook ${knop.dataset.label} deblokkeren in Google Admin?`;
+        if (!confirm(vraag)) return;
+        const tekst = knop.textContent;
+        knop.disabled = true; knop.textContent = '⏳';
+        const data = new FormData();
+        data.append('toestel_id', knop.dataset.id);
+        data.append('actie', blokkeren ? 'blokkeren' : 'deblokkeren');
+        fetch(BLOKKEER_URL, { method: 'POST', body: data, credentials: 'same-origin', headers: { 'X-Requested-With': 'fetch' } })
+            .then(r => r.json()).then(res => {
+                knop.disabled = false;
+                if (!res.ok) { knop.textContent = tekst; alert(res.melding || 'Mislukt.'); return; }
+                const nu = !!res.geblokkeerd;
+                knop.dataset.geblokkeerd = nu ? '1' : '0';
+                knop.textContent = nu ? '🔓 Deblokkeren' : '🔒 Blokkeren';
+                knop.classList.toggle('btn-success', nu); knop.classList.toggle('btn-danger', !nu);
+                const badge = knop.closest('tr').querySelector('.blok-badge');
+                if (badge) badge.hidden = !nu;
+            }).catch(() => { knop.disabled = false; knop.textContent = tekst; alert('Er ging iets mis; probeer opnieuw.'); });
+    }
+
+    function openGoogleInfo(knop) {
+        document.getElementById('giTitel').textContent = knop.dataset.label;
+        const doel = document.getElementById('giInhoud');
+        doel.innerHTML = '<p class="muted">Gegevens ophalen bij Google…</p>';
+        document.getElementById('googleInfoModal').style.display = 'block';
+        fetch("{{ url_for('devices.google_info') }}?serie=" + encodeURIComponent(knop.dataset.serie), { credentials: 'same-origin' })
+            .then(r => r.json())
+            .then(res => {
+                if (!res.ok) { doel.innerHTML = `<div class="alert alert-danger">${giEsc(res.fout)}</div>`; return; }
+                const i = res.info;
+                let h = `<div class="gi-meta">
+                    <div><span>Laatste synchronisatie</span>${giEsc(giDatum(i.laatste_sync))}</div>
+                    <div><span>Model</span>${giEsc(i.model || '–')}</div>
+                    <div><span>Organisatie-eenheid</span>${giEsc(i.ou || '–')}</div>
+                    <div><span>Status in Google</span>${giEsc({ACTIVE: 'Actief', DISABLED: 'Geblokkeerd', DEPROVISIONED: 'Uitgeschreven'}[i.status] || i.status || '–')}</div>
+                </div>`;
+                h += '<h4>Recente gebruikers <span class="muted small">(meest recent bovenaan)</span></h4>';
+                if (i.gebruikers.length) {
+                    h += '<table><tbody>' + i.gebruikers.map((g, n) => `<tr>
+                        <td style="width:28px" class="muted">${n + 1}</td>
+                        <td>${g.beheerd ? giEsc(g.email) : '<span class="muted">niet-beheerd account (gast of extern)</span>'}</td>
+                        <td>${giEsc(g.naam || '')}</td></tr>`).join('') + '</tbody></table>';
+                } else {
+                    h += '<p class="muted">Google geeft geen gebruikers terug. Staat de gebruikersrapportage aan voor deze OU '
+                       + '(Google Admin › Apparaten › Chrome › Instellingen › Apparaat)?</p>';
+                }
+                h += '<h4>Actieve tijd per dag</h4>';
+                if (i.actief.length) {
+                    const max = Math.max(...i.actief.map(a => a.minuten), 1);
+                    h += '<table><tbody>' + i.actief.map(a => `<tr>
+                        <td style="width:110px">${giEsc(new Date(a.datum).toLocaleDateString('nl-BE', { weekday: 'short', day: '2-digit', month: '2-digit' }))}</td>
+                        <td><span class="gi-balk" style="width:${Math.round(a.minuten / max * 220)}px"></span>${giDuur(a.minuten)}</td></tr>`).join('') + '</tbody></table>';
+                } else {
+                    h += '<p class="muted">Geen gegevens over actieve tijd.</p>';
+                }
+                doel.innerHTML = h;
+            })
+            .catch(e => { doel.innerHTML = `<div class="alert alert-danger">Ophalen mislukt: ${giEsc(e)}</div>`; });
+    }
+
+    // Sorteren (klik op kolomkop) en 10 toestellen per pagina — alles in de browser
+    (function () {
+        const body = document.getElementById('toestelBody');
+        if (!body) return;
+        let PER_PAGINA = perPagina('toestellen');
+        const alle = Array.from(body.rows);
+        let pagina = 1, kol = null, op = true;
+
+        function toon() {
+            const grootte = PER_PAGINA || Infinity;
+            const paginas = Math.max(1, Math.ceil(alle.length / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER_PAGINA ? (pagina - 1) * PER_PAGINA : 0, tot = van + grootte;   // 0 = alles
+            Array.from(body.rows).forEach((tr, i) => tr.style.display = (i >= van && i < tot) ? '' : 'none');
+            document.getElementById('toestelTeller').textContent =
+                `${van + 1}–${Math.min(tot, alle.length)} van ${alle.length} toestel(len)`;
+            const nav = document.getElementById('toestelPaginering');
+            nav.innerHTML = '';
+            if (paginas <= 1) return;
+            const knop = (label, p, actief, titel) => {
+                const b = document.createElement('button');
+                b.type = 'button'; b.textContent = label; b.className = 'btn-sm ' + (actief ? 'btn-secondary' : 'btn-light');
+                if (titel) b.title = titel;
+                b.onclick = () => { pagina = p; toon(); body.closest('.table-wrap').scrollIntoView({ block: 'start' }); };
+                nav.appendChild(b);
+            };
+            if (pagina > 1) { knop('«', 1, false, 'Eerste pagina'); knop('‹ Vorige', pagina - 1); }
+            for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+            if (pagina < paginas) { knop('Volgende ›', pagina + 1); knop('»', paginas, false, 'Laatste pagina'); }
+            const info = document.createElement('span');
+            info.className = 'muted small'; info.textContent = `pagina ${pagina} van ${paginas}`;
+            nav.appendChild(info);
+        }
+
+        document.querySelectorAll('th.sorteer').forEach(th => th.addEventListener('click', () => {
+            const k = +th.dataset.kol;
+            op = kol === k ? !op : true; kol = k;
+            document.querySelectorAll('th.sorteer').forEach(x => x.classList.remove('op', 'af'));
+            th.classList.add(op ? 'op' : 'af');
+            const rijen = Array.from(body.rows);
+            rijen.sort((a, b) => {
+                const x = a.cells[k].dataset.sort || '', y = b.cells[k].dataset.sort || '';
+                if (!x !== !y) return x ? -1 : 1;           // lege waarden altijd onderaan
+                const c = x.localeCompare(y, 'nl', { numeric: true, sensitivity: 'base' });
+                return op ? c : -c;
+            });
+            rijen.forEach(tr => body.appendChild(tr));
+            pagina = 1; toon();
+        }));
+        perPaginaKiezer(document.getElementById('toestellenPerPagina'), 'toestellen', n => { PER_PAGINA = n; pagina = 1; toon(); });
+        toon();
+    })();
+
+    function openStatusModal(toestelId, currentQuery, label) {
+        document.getElementById('modalkamxm_nummer').textContent = label || toestelId;
+        document.getElementById('modalHiddenkamxm_nummer').value = toestelId;
+        document.getElementById('modalHiddenQuery').value = currentQuery;
+        document.getElementById('statusModal').style.display = 'block';
+    }
+
+    function submitStatus(status) {
+        document.getElementById('modalHiddenStatus').value = status;
+        document.getElementById('statusForm').submit();
+    }
+
+    function openEditModalFromButton(buttonElement) {
+        openEditModal({
+            kamxm_nummer_key: buttonElement.getAttribute('data-kamxm-key'),
+            kamxm: buttonElement.getAttribute('data-kamxm'),
+            serienummer: buttonElement.getAttribute('data-serienummer'),
+            signpostnummer: buttonElement.getAttribute('data-signpost'),
+            type: buttonElement.getAttribute('data-type'),
+            garantie: buttonElement.getAttribute('data-garantie'),
+            opmerking: buttonElement.getAttribute('data-opmerking')
+        });
+    }
+
+    function openEditModal(rowData) {
+        document.getElementById('editModalkamxm_nummerTitle').textContent = rowData.kamxm || rowData.serienummer || '';
+        document.getElementById('editHiddenkamxm_nummerKey').value = rowData.kamxm_nummer_key;
+        document.getElementById('edit_kamxm_nummer_display').value = rowData.kamxm || '';
+        document.getElementById('edit_serienummer').value = rowData.serienummer || '';
+        document.getElementById('edit_signpostnummer').value = rowData.signpostnummer || '';
+        document.getElementById('edit_type').value = rowData.type || '';
+        document.getElementById('edit_garantie').value = rowData.garantie || '';
+        document.getElementById('edit_opmerking').value = rowData.opmerking || '';
+        document.getElementById('editModal').style.display = 'block';
+        makeHiddenTogglesVisible();
+    }
+
+    function toggleColumn(columnClass) {
+        const checkbox = document.getElementById('toggle-' + columnClass.replace('col-', ''));
+        if (!checkbox) return;
+        const displayStyle = checkbox.checked ? 'table-cell' : 'none';
+        document.querySelectorAll('.' + columnClass).forEach(cell => { cell.style.display = displayStyle; });
+    }
+
+    function makeHiddenTogglesVisible() {
+        ['.toggle-garantie-label', '.toggle-opmerking-label'].forEach(selector => {
+            const el = document.querySelector(selector);
+            if (el) el.classList.add('shown');
+        });
+    }
+
+    document.addEventListener('DOMContentLoaded', () => {
+        ['col-kamxm-nummer', 'col-signpostnummer', 'col-serienummer', 'col-type', 'col-status', 'col-bewerken']
+            .forEach(toggleColumn);
+    });
+
+    window.onclick = function (event) {
+        if (event.target.classList.contains('modal')) event.target.style.display = 'none';
+    };
+</script>
+{% endblock %}
diff --git a/templates/tweestaps.html b/templates/tweestaps.html
new file mode 100644
index 0000000..7a7f524
--- /dev/null
+++ b/templates/tweestaps.html
@@ -0,0 +1,354 @@
+{% extends "base.html" %}
+
+{% block title %}2FA-hulp{% endblock %}
+{% block page_title %}2FA-hulp{% endblock %}
+{% block main_class %}{{ '' if tab == 'lijst' else 'medium' }}{% endblock %}
+
+{% block extra_css %}
+<style>
+    .user-head { display: flex; flex-wrap: wrap; align-items: center; gap: 14px; margin-bottom: 4px; }
+    .avatar { width: 46px; height: 46px; border-radius: 50%; display: grid; place-items: center; flex-shrink: 0;
+              background: var(--primary-light); color: var(--primary-color); font-weight: 800; font-size: 18px; }
+    .user-head .who { flex: 1; min-width: 220px; }
+    .user-head .who strong { display: block; font-size: 1.1rem; }
+    .badges { display: flex; flex-wrap: wrap; gap: 6px; }
+    .actions-grid { display: grid; grid-template-columns: repeat(auto-fit, minmax(280px, 1fr)); gap: 16px; margin-top: 18px; }
+    @media (max-width: 760px) { .actions-grid { grid-template-columns: 1fr; } }
+    .action-box { border: 1px solid var(--border); border-radius: var(--radius); padding: 18px; background: var(--surface-muted); }
+    .action-box h3 { margin: 0 0 4px; font-size: 1rem; }
+    .action-box p { font-size: 14px; color: var(--text-muted); margin: 0 0 14px; }
+    .action-box .btn-row { display: flex; flex-wrap: wrap; gap: 8px; }
+    .code-panel { margin-top: 18px; border: 2px solid var(--success); border-radius: var(--radius-lg); background: var(--success-bg); padding: 20px; text-align: center; }
+    .big-code { font-family: ui-monospace, Consolas, monospace; font-size: 40px; font-weight: 800; letter-spacing: 6px; color: var(--success-text); margin: 6px 0 4px; }
+    .code-grid { display: grid; grid-template-columns: repeat(auto-fill, minmax(120px, 1fr)); gap: 6px; margin-top: 12px; }
+    .code-grid span { font-family: ui-monospace, Consolas, monospace; background: #fff; border: 1px solid var(--border); border-radius: 6px; padding: 6px; font-size: 15px; }
+    details summary { cursor: pointer; color: var(--text-muted); font-size: 14px; margin-top: 12px; }
+    .exception-active { margin-top: 14px; }
+    .pick-list { list-style: none; margin: 10px 0 0; padding: 0; }
+    .pick-list a { display: flex; justify-content: space-between; gap: 12px; padding: 10px 12px; border-radius: var(--radius-sm); text-decoration: none; color: var(--text); }
+    .pick-list a:hover { background: var(--primary-light); }
+    .pick-list .ou { color: var(--text-muted); font-size: 13px; }
+    .setup-hint { font-size: 13px; }
+    /* Afdrukken: enkel het codebriefje */
+    @media print {
+        body.print-slip * { visibility: hidden; }
+        body.print-slip #codeSlip, body.print-slip #codeSlip * { visibility: visible; }
+        body.print-slip #codeSlip { position: absolute; left: 0; top: 0; width: 100%; border: 1px dashed #999; background: #fff; }
+        body.print-slip #codeSlip .no-print { display: none; }
+    }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="tabs">
+    <a class="tab-link {{ 'active' if tab != 'lijst' else '' }}" href="{{ url_for('tweestaps.overzicht') }}" style="text-decoration:none">🆘 Hulp bij inloggen</a>
+    <a class="tab-link {{ 'active' if tab == 'lijst' else '' }}" href="{{ url_for('tweestaps.overzicht', tab='lijst') }}" style="text-decoration:none" onclick="showLoader('Gebruikers ophalen bij Google...')">⚠️ Nog geen 2FA ingesteld</a>
+</div>
+
+{% if tab != 'lijst' %}
+<section class="tab-content card active">
+    {# ---------- Zoeken ---------- #}
+    <form class="search-bar" method="GET" action="{{ url_for('tweestaps.overzicht') }}" onsubmit="showLoader()" style="margin:0">
+        <input type="text" name="zoek" placeholder="Naam of e-mailadres van de leerkracht" value="{{ zoek or (gebruiker.email if gebruiker else '') }}" autofocus>
+        <button type="submit">🔍 Zoeken</button>
+    </form>
+
+    {% if zoekresultaten %}
+    <ul class="pick-list">
+        {% for u in zoekresultaten %}
+        <li><a href="{{ url_for('tweestaps.overzicht', email=u.email) }}" onclick="showLoader()">
+            <span><strong>{{ u.naam }}</strong> · {{ u.email }}</span><span class="ou">{{ u.ou }}</span></a></li>
+        {% endfor %}
+    </ul>
+    {% endif %}
+
+    {% if fout %}<div class="alert alert-danger" style="margin-top:14px">{{ fout }}</div>{% endif %}
+
+    {# ---------- Gekozen gebruiker ---------- #}
+    {% if gebruiker %}
+    <div style="margin-top: 22px; padding-top: 20px; border-top: 1px solid var(--border);">
+        <div class="user-head">
+            <span class="avatar">{{ (gebruiker.naam or gebruiker.email)[:1]|upper }}</span>
+            <div class="who">
+                <strong>{{ gebruiker.naam }}</strong>
+                <span class="muted">{{ gebruiker.email }} · {{ gebruiker.ou }}</span>
+            </div>
+            <div class="badges">
+                {% if gebruiker.ingesteld %}<span class="badge badge-success">✓ 2FA ingesteld</span>
+                {% else %}<span class="badge badge-warning">2FA niet ingesteld</span>{% endif %}
+                {% if uitzondering %}<span class="badge badge-info">⏳ Uitzondering tot {{ uitzondering.Tot.strftime('%H:%M') }}</span>
+                {% elif gebruiker.afgedwongen %}<span class="badge">Verplicht</span>{% endif %}
+                {% if gebruiker.geschorst %}<span class="badge badge-danger">Geschorst</span>{% endif %}
+            </div>
+        </div>
+
+        {# ---------- Codes tonen ---------- #}
+        {% if codes %}
+        <div class="code-panel" id="codeSlip">
+            <div class="muted small">Back-upcode voor <strong>{{ gebruiker.email }}</strong></div>
+            <div class="big-code">{{ codes[0][:4] }} {{ codes[0][4:] }}</div>
+            <div class="small">Typ deze code bij "Probeer een andere manier" › "Voer een van je back-upcodes van 8 cijfers in". Elke code werkt maar één keer.</div>
+            <details class="no-print">
+                <summary>Alle {{ codes|length }} geldige codes tonen</summary>
+                <div class="code-grid">{% for c in codes %}<span>{{ c[:4] }} {{ c[4:] }}</span>{% endfor %}</div>
+            </details>
+            <div class="btn-row no-print" style="justify-content:center; margin-top:14px">
+                <button type="button" class="btn-light btn-sm" onclick="printSlip()">🖨️ Afdrukken</button>
+            </div>
+            {% if code_actie == 'nieuw' %}<div class="small muted no-print" style="margin-top:8px">Er is een nieuwe set aangemaakt; oudere codes van deze gebruiker werken niet meer.</div>{% endif %}
+        </div>
+        {% endif %}
+
+        <div class="actions-grid">
+            {% if mag('tweestaps_codes') %}
+            <div class="action-box">
+                <h3>📱 Telefoon vergeten</h3>
+                <p>Geef een back-upcode. 2FA blijft gewoon aan; de code werkt één keer.</p>
+                <form method="POST" action="{{ url_for('tweestaps.codes') }}" class="btn-row" onsubmit="showLoader()">
+                    <input type="hidden" name="email" value="{{ gebruiker.email }}">
+                    <button type="submit" name="actie" value="tonen">🔑 Back-upcode geven</button>
+                    <button type="submit" name="actie" value="nieuw" class="btn-light"
+                            onclick="return confirm('Een nieuwe set maken? Alle oudere back-upcodes van deze gebruiker werken dan niet meer.')">Nieuwe set</button>
+                    <button type="submit" name="actie" value="ongeldig" class="btn-ghost"
+                            onclick="return confirm('Alle back-upcodes van deze gebruiker ongeldig maken?')">Codes intrekken</button>
+                </form>
+            </div>
+            {% endif %}
+
+            {% if mag('tweestaps_uitzetten') and reset_wacht %}
+            <div class="action-box">
+                <h3>⏳ 2FA-reset wacht op Google</h3>
+                <p>Gevraagd om {{ reset_wacht.Gevraagd_op.strftime('%H:%M') }} door {{ reset_wacht.Door or '?' }}.
+                   {{ gebruiker.email }} staat al in de uitzonderingsgroep, maar Google past dat pas na enkele minuten toe.
+                   PIVOT probeert elke minuut opnieuw (al {{ reset_wacht.Pogingen }} poging(en)), tot {{ reset_wacht.Tot.strftime('%H:%M') }}.
+                   Je hoeft niets te doen.</p>
+                <p>Google meldt nu: 2FA afgedwongen voor deze gebruiker: <strong>{{ 'ja (uitzondering nog niet toegepast)' if gebruiker.afgedwongen else 'nee, de reset volgt bij de volgende poging' }}</strong>.
+                   {% if reset_wacht.Laatste_fout %}<br><span class="muted">Laatste antwoord van Google: {{ reset_wacht.Laatste_fout }}</span>{% endif %}</p>
+                <p class="field-hint">Moet de gebruiker nu meteen binnen? Toon hierboven een <strong>back-upcode</strong>: daarmee logt hij in en stelt hij zijn nieuwe telefoon in via myaccount.google.com › Beveiliging › Authenticatie in 2 stappen. Dat werkt meteen, ook als 2FA afgedwongen wordt.</p>
+                <a class="btn-light" href="{{ url_for('tweestaps.overzicht', email=gebruiker.email) }}">🔄 Status vernieuwen</a>
+            </div>
+            {% elif mag('tweestaps_uitzetten') and gebruiker.ingesteld %}
+            <div class="action-box">
+                <h3>📵 Nieuwe telefoon: 2FA resetten</h3>
+                <p class="field-hint">💡 Snelste weg bij een nieuwe telefoon: geef de gebruiker een <strong>back-upcode</strong> (hierboven). Hij logt daarmee in en koppelt zelf zijn nieuwe telefoon. Resetten is pas nodig als dat niet lukt.</p>
+                <p>Zet 2FA uit zodat de gebruiker het opnieuw kan instellen met een nieuw toestel. Oude back-upcodes en het oude toestel werken daarna niet meer.
+                   {% if gebruiker.afgedwongen %}Omdat 2FA verplicht is, krijgt hij ook een tijdelijke uitzondering tot vandaag {{ einde.strftime('%H:%M') }} om opnieuw in te stellen.{% endif %}</p>
+                <form method="POST" action="{{ url_for('tweestaps.reset') }}" onsubmit="return confirm('2FA resetten voor {{ gebruiker.email }}? De gebruiker moet 2FA daarna opnieuw instellen.') && (showLoader(), true)">
+                    <input type="hidden" name="email" value="{{ gebruiker.email }}">
+                    <div class="field" style="margin-bottom:10px">
+                        <input type="text" name="reden" maxlength="255" placeholder="Reden (optioneel), bv. nieuwe telefoon">
+                    </div>
+                    <button type="submit" class="btn-danger">📵 2FA resetten</button>
+                </form>
+            </div>
+            {% endif %}
+
+            {% if mag('tweestaps_uitzetten') %}
+            <div class="action-box">
+                <h3>⏳ Tijdelijk zonder 2FA</h3>
+                {% if uitzondering %}
+                    <p>Deze gebruiker kan tot <strong>{{ uitzondering.Tot.strftime('%d-%m %H:%M') }}</strong> zonder 2FA inloggen. Daarna wordt 2FA automatisch terug verplicht.</p>
+                    <div class="btn-row">
+                        {% if uitzondering.Tot < einde %}
+                        <form method="POST" action="{{ url_for('tweestaps.uitzondering') }}" style="margin:0" onsubmit="showLoader()">
+                            <input type="hidden" name="email" value="{{ gebruiker.email }}">
+                            <button type="submit" class="btn-light">Verlengen tot {{ einde.strftime('%H:%M') }}</button>
+                        </form>
+                        {% endif %}
+                        <form method="POST" action="{{ url_for('tweestaps.stop_uitzondering', uitz_id=uitzondering.ID) }}" style="margin:0" onsubmit="showLoader()">
+                            <input type="hidden" name="terug" value="{{ gebruiker.email }}">
+                            <button type="submit" class="btn-danger">Nu beëindigen</button>
+                        </form>
+                    </div>
+                {% elif not groep %}
+                    <p>Nog niet ingesteld: vul de <strong>Uitzonderingsgroep</strong> in bij
+                       {% if mag('koppelingen') %}<a href="{{ url_for('scholen.mijn_school') }}">🔌 Koppelingen van deze school</a>{% else %}🔌 Koppelingen van deze school{% endif %}
+                       › 🛡️ 2FA-hulp (een Google-groep waarvoor 2FA niet afgedwongen wordt).</p>
+                {% else %}
+                    <p>Voor wie 2FA nog moet instellen, of als een back-upcode niet lukt. De uitzondering loopt tot
+                       <strong>vandaag {{ einde.strftime('%H:%M') }}</strong>; daarna zet PIVOT 2FA automatisch terug aan.</p>
+                    <form method="POST" action="{{ url_for('tweestaps.uitzondering') }}" onsubmit="showLoader()">
+                        <input type="hidden" name="email" value="{{ gebruiker.email }}">
+                        <div class="field" style="margin-bottom:10px">
+                            <input type="text" name="reden" maxlength="255" placeholder="Reden (optioneel), bv. nieuwe telefoon">
+                        </div>
+                        <button type="submit" class="btn-warning">⏳ Uitzondering geven tot {{ einde.strftime('%H:%M') }}</button>
+                    </form>
+                {% endif %}
+            </div>
+            {% endif %}
+        </div>
+    </div>
+    {% endif %}
+</section>
+
+{# ---------- Lopende uitzonderingen ---------- #}
+<div class="card">
+    <h3 class="card-title">⏳ Lopende uitzonderingen</h3>
+    {% if actief %}
+    <div class="table-wrap">
+        <table>
+            <thead><tr><th>Gebruiker</th><th>Tot</th><th>Gegeven door</th><th>Reden</th><th class="actions">Actie</th></tr></thead>
+            <tbody>
+            {% for u in actief %}
+                <tr>
+                    <td><a href="{{ url_for('tweestaps.overzicht', email=u.Email) }}"><strong>{{ u.Naam or u.Email }}</strong></a><div class="muted small">{{ u.Email }}</div></td>
+                    <td class="nowrap">
+                        {{ u.Tot.strftime('%H:%M') if u.Tot.date() == nu.date() else u.Tot.strftime('%d-%m %H:%M') }}
+                        {% if u.Tot <= nu %}<span class="badge badge-warning">wordt beëindigd</span>{% endif %}
+                    </td>
+                    <td>{{ u.Door or '?' }}</td>
+                    <td class="muted">{{ u.Reden or '' }}</td>
+                    <td class="actions">
+                        {% if mag('tweestaps_uitzetten') %}
+                        <form method="POST" action="{{ url_for('tweestaps.stop_uitzondering', uitz_id=u.ID) }}" onsubmit="showLoader()">
+                            <button type="submit" class="btn-sm btn-danger">Nu beëindigen</button>
+                        </form>
+                        {% endif %}
+                    </td>
+                </tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+    {% else %}
+        <p class="muted" style="margin:0">Geen lopende uitzonderingen. Iedereen moet 2FA gebruiken.</p>
+    {% endif %}
+</div>
+
+{# ---------- Logboek ---------- #}
+{% if logboek %}
+<div class="card" id="logboek">
+    <div class="page-head" style="margin-bottom:10px">
+        <h3 class="card-title" style="margin:0">🕑 Recente acties</h3>
+        <span class="muted small">{{ log_totaal }} actie(s)</span>
+    </div>
+    <div class="table-wrap">
+        <table>
+            <thead><tr><th>Tijdstip</th><th>Door</th><th>Actie</th><th>Gebruiker</th><th>Details</th></tr></thead>
+            <tbody>
+            {% for l in logboek %}
+                <tr>
+                    <td class="nowrap">{{ l.Tijdstip.strftime('%d-%m %H:%M') }}</td>
+                    <td>{{ l.Door or '?' }}</td>
+                    <td>{{ l.Actie }}</td>
+                    <td>{{ l.Email }}</td>
+                    <td class="muted">{{ l.Details or '' }}</td>
+                </tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+    {% set extra = {'email': gebruiker.email} if gebruiker else {} %}
+    <div style="display:flex;flex-wrap:wrap;justify-content:space-between;align-items:center;gap:10px;margin-top:12px">
+    <form method="GET" action="{{ url_for('tweestaps.overzicht') }}#logboek" style="margin:0">
+        {% if gebruiker %}<input type="hidden" name="email" value="{{ gebruiker.email }}">{% endif %}
+        <label class="per-pagina">Toon
+            <select name="logper" onchange="this.form.submit()" aria-label="Aantal per pagina">
+                {% for n in log_keuzes %}<option value="{{ n }}" {% if n == log_per %}selected{% endif %}>{{ n or 'alles' }}</option>{% endfor %}
+            </select> per pagina</label>
+    </form>
+    {% if log_paginas > 1 %}
+    <nav class="paginering" aria-label="Pagina's logboek" style="margin-top:0">
+        {% if log_pagina > 1 %}
+        <a class="btn btn-sm btn-light" href="{{ url_for('tweestaps.overzicht', logpagina=1, **extra) }}#logboek" title="Eerste pagina">«</a>
+        <a class="btn btn-sm btn-light" href="{{ url_for('tweestaps.overzicht', logpagina=log_pagina - 1, **extra) }}#logboek">‹ Vorige</a>
+        {% endif %}
+        {% for p in range([1, log_pagina - 2]|max, [log_paginas, log_pagina + 2]|min + 1) %}
+        <a class="btn btn-sm {{ 'btn-secondary' if p == log_pagina else 'btn-light' }}"
+           href="{{ url_for('tweestaps.overzicht', logpagina=p, **extra) }}#logboek" {% if p == log_pagina %}aria-current="page"{% endif %}>{{ p }}</a>
+        {% endfor %}
+        {% if log_pagina < log_paginas %}
+        <a class="btn btn-sm btn-light" href="{{ url_for('tweestaps.overzicht', logpagina=log_pagina + 1, **extra) }}#logboek">Volgende ›</a>
+        <a class="btn btn-sm btn-light" href="{{ url_for('tweestaps.overzicht', logpagina=log_paginas, **extra) }}#logboek" title="Laatste pagina">»</a>
+        {% endif %}
+        <span class="muted small" style="margin-left:6px">pagina {{ log_pagina }} van {{ log_paginas }}</span>
+    </nav>
+    {% endif %}
+    </div>
+</div>
+{% endif %}
+
+{% else %}
+{# ---------- Tab: nog geen 2FA ingesteld ---------- #}
+<section class="tab-content card active">
+    <div class="page-head">
+        <div>
+            <h2 style="margin:0">Nog geen 2FA ingesteld</h2>
+            <div class="muted small">Actieve accounts in {{ ous }} zonder 2FA</div>
+        </div>
+        <div class="actions">
+            <a class="btn btn-light" href="{{ url_for('tweestaps.overzicht', tab='lijst', vernieuw=1) }}" onclick="showLoader('Gebruikers ophalen bij Google...')">🔄 Vernieuwen</a>
+        </div>
+    </div>
+    {% if lijst_fout %}<div class="alert alert-danger">{{ lijst_fout }}</div>{% endif %}
+    {% if lijst is not none %}
+    <div class="table-wrap">
+        <table>
+            <thead><tr><th class="sorteer" data-kol="0" data-type="tekst" title="Sorteren op naam">Naam <span class="pijl"></span></th>
+                <th class="sorteer" data-kol="1" data-type="tekst" title="Sorteren op e-mail">E-mail <span class="pijl"></span></th><th>OU</th>
+                <th class="sorteer" data-kol="3" data-type="datum" title="Sorteren op laatste login">Laatste login <span class="pijl"></span></th>
+                <th class="sorteer" data-kol="4" data-type="datum" title="Sorteren op status">Status <span class="pijl"></span></th><th class="actions"></th></tr></thead>
+            <tbody id="lijstBody">
+            {% set uitz = actief|map(attribute='Email')|list %}
+            {% for u in lijst %}
+                <tr>
+                    <td data-sort="{{ u.naam|lower }}"><strong>{{ u.naam }}</strong></td>
+                    <td data-sort="{{ u.email|lower }}">{{ u.email }}</td>
+                    <td class="muted">{{ u.ou }}</td>
+                    <td class="nowrap" data-sort="{{ u.laatste_login or '' }}">{{ u.laatste_login or 'Nooit' }}</td>
+                    {# volgorde bij sorteren: kan niet inloggen → uitzondering → nog niet verplicht; daarbinnen op naam #}
+                    <td data-sort="{{ '2' if u.email in uitz else ('1' if u.afgedwongen else '3') }} {{ u.naam|lower }}">
+                        {% if u.email in uitz %}<span class="badge badge-info">Uitzondering</span>
+                        {% elif u.afgedwongen %}<span class="badge badge-danger">Kan niet inloggen</span>
+                        {% else %}<span class="badge badge-warning">Nog niet verplicht</span>{% endif %}
+                    </td>
+                    <td class="actions"><a class="btn btn-sm btn-light" href="{{ url_for('tweestaps.overzicht', email=u.email) }}">Helpen</a></td>
+                </tr>
+            {% else %}
+                <tr class="empty-row"><td colspan="6">🎉 Iedereen heeft 2FA ingesteld.</td></tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+    {% if lijst %}<p class="field-hint">{{ lijst|length }} account(s). "Kan niet inloggen": voor deze mensen wordt 2FA afgedwongen maar ze hebben het nog niet ingesteld. Geef ze een tijdelijke uitzondering zodat ze het kunnen instellen.</p>{% endif %}
+    {% endif %}
+</section>
+{% endif %}
+{% endblock %}
+
+{% block scripts %}
+<style>
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; margin-top: 12px; }
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+</style>
+<script>
+    // Sorteren via de kolomkop (Naam, Laatste login). "Nooit" telt als oudste.
+    document.querySelectorAll('th.sorteer').forEach(function (th) {
+        th.addEventListener('click', function () {
+            var body = document.getElementById('lijstBody');
+            if (!body) return;
+            var kol = +th.dataset.kol, op = !th.classList.contains('op');
+            document.querySelectorAll('th.sorteer').forEach(function (x) { x.classList.remove('op', 'af'); });
+            th.classList.add(op ? 'op' : 'af');
+            var rijen = Array.prototype.filter.call(body.rows, function (r) { return !r.classList.contains('empty-row'); });
+            rijen.sort(function (a, b) {
+                var x = a.cells[kol].dataset.sort || '', y = b.cells[kol].dataset.sort || '';
+                var c = th.dataset.type === 'tekst' ? x.localeCompare(y, 'nl') : (x < y ? -1 : x > y ? 1 : 0);
+                return op ? c : -c;
+            });
+            rijen.forEach(function (r) { body.appendChild(r); });
+        });
+    });
+
+    function printSlip() {
+        document.body.classList.add('print-slip');
+        window.print();
+        setTimeout(() => document.body.classList.remove('print-slip'), 500);
+    }
+</script>
+{% endblock %}
diff --git a/templates/uitdelen.html b/templates/uitdelen.html
new file mode 100644
index 0000000..44a9596
--- /dev/null
+++ b/templates/uitdelen.html
@@ -0,0 +1,158 @@
+{% extends "base.html" %}
+
+{% block title %}Uitlenen{% endblock %}
+{% block page_title %}Toestel uitdelen{% endblock %}
+{% block main_class %}medium{% endblock %}
+
+{% block head %}
+<script src="https://unpkg.com/html5-qrcode" type="text/javascript"></script>
+{% endblock %}
+
+{% block extra_css %}
+<style>
+    #reader { width: 100%; margin-top: 14px; border: 3px solid var(--primary-color); border-radius: var(--radius); overflow: hidden; display: none; background: #000; }
+    #reader video { width: 100% !important; height: auto !important; object-fit: cover !important; }
+    #scan-result-container { display: none; margin-top: 14px; padding: 14px; border: 2px dashed var(--primary-color); border-radius: var(--radius); background: var(--primary-light); }
+    #scannedText { font-size: 1.2em; color: var(--primary-color); word-break: break-all; }
+    .scan-actions { display: flex; gap: 8px; margin-top: 10px; }
+    .scan-actions button { flex: 1; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="split">
+    <div class="card">
+        <h2 class="card-title">Toestelgegevens</h2>
+        <form method="POST" action="{{ url_for('devices.uitdelen_submit') }}" onsubmit="showLoader()">
+            <div class="field zoek-wrap">
+                <label for="internnummer">Internnummer</label>
+                <input type="text" id="internnummer" name="internnummer" required autocomplete="off"
+                       placeholder="Zoek op naam of scan/typ internnummer..." role="combobox"
+                       value="{{ request.args.get('internnummer', '') }}"
+                       aria-autocomplete="list" aria-controls="leerlingSuggesties" aria-expanded="false">
+                <ul class="suggesties" id="leerlingSuggesties" role="listbox"></ul>
+                {% if request.args.get('naam') %}<p class="field-hint">👤 {{ request.args.get('naam') }}</p>{% endif %}
+            </div>
+            <div class="field zoek-wrap">
+                <label for="serienummer">Toestelnummer</label>
+                <input type="text" id="serienummer" name="serienummer" required autocomplete="off"
+                       placeholder="Zoek of scan toestelnummer (of serienummer)..." role="combobox"
+                       {{ 'autofocus' if request.args.get('internnummer') }}
+                       aria-autocomplete="list" aria-controls="toestelSuggesties" aria-expanded="false">
+                <ul class="suggesties" id="toestelSuggesties" role="listbox"></ul>
+            </div>
+
+            <button class="btn-block btn-lg" type="submit" name="action" value="check">✅ Ingeven</button>
+            <button class="btn-block btn-warning" type="submit" name="action" value="no_check">Zonder nakijken</button>
+        </form>
+    </div>
+
+    <div class="card order-first-mobile text-center">
+        <h2 class="card-title">📷 Scanner</h2>
+        <button type="button" class="btn-block btn-secondary" id="btn-toggle-scan">📷 Open camera-scanner</button>
+        {# Zonder https geeft de browser geen live camera: dan een foto nemen met de camera-app en de code daaruit lezen #}
+        <label class="btn btn-block btn-secondary" id="btn-foto" style="display:none">
+            📷 Foto van de code nemen
+            <input type="file" id="foto-input" accept="image/*" capture="environment" hidden>
+        </label>
+        <p class="muted small" id="scan-hint" style="display:none;margin:8px 0 0"></p>
+
+        <div id="reader"></div>
+
+        <div id="scan-result-container">
+            <div class="muted small">Gescande waarde</div>
+            <strong id="scannedText">-</strong>
+            <div class="scan-actions">
+                <button type="button" class="btn-sm" onclick="copyToField('internnummer')">→ Internnr.</button>
+                <button type="button" class="btn-sm" onclick="copyToField('serienummer')">→ Toestelnr.</button>
+            </div>
+        </div>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+{% set toestel_voorkeur = 'beschikbaar' %}{% include '_toestel_zoekveld.html' %}
+<script>
+    let html5QrCode;
+    const scanBtn = document.getElementById('btn-toggle-scan');
+    const readerDiv = document.getElementById('reader');
+    const resultContainer = document.getElementById('scan-result-container');
+    const scannedTextElement = document.getElementById('scannedText');
+
+    scanBtn.addEventListener('click', () => {
+        if (!html5QrCode || !html5QrCode.isScanning) startScanner(); else stopScanner();
+    });
+
+    // Live camera kan enkel via https (of localhost). Anders: foto nemen en de code uit de foto lezen.
+    const fotoBtn = document.getElementById('btn-foto');
+    const fotoInput = document.getElementById('foto-input');
+    const scanHint = document.getElementById('scan-hint');
+    function fotoModus(reden) {
+        scanBtn.style.display = 'none';
+        fotoBtn.style.display = '';
+        scanHint.textContent = reden;
+        scanHint.style.display = '';
+    }
+    if (!window.isSecureContext || !(navigator.mediaDevices && navigator.mediaDevices.getUserMedia)) {
+        fotoModus('Neem een scherpe foto van de streepjes- of QR-code, van dichtbij en recht ervoor.');
+    }
+    fotoInput.addEventListener('change', () => {
+        const bestand = fotoInput.files && fotoInput.files[0];
+        if (!bestand) return;
+        scanHint.textContent = 'Code zoeken in de foto...';
+        scanHint.style.display = '';
+        const lezer = new Html5Qrcode("reader");
+        lezer.scanFile(bestand, false)
+            .then(tekst => {
+                scannedTextElement.textContent = tekst;
+                resultContainer.style.display = 'block';
+                scanHint.textContent = 'Code gevonden. Kies hieronder in welk veld ze moet komen.';
+            })
+            .catch(() => { scanHint.textContent = 'Geen code gevonden in de foto. Probeer opnieuw, van dichterbij en zonder schittering.'; })
+            .finally(() => { fotoInput.value = ''; lezer.clear(); });
+    });
+
+    function startScanner() {
+        readerDiv.style.display = 'block';
+        scanBtn.textContent = '❌ Stop scanner';
+        scanBtn.classList.replace('btn-secondary', 'btn-danger');
+
+        html5QrCode = new Html5Qrcode("reader");
+        const config = { fps: 20, qrbox: { width: 300, height: 150 }, aspectRatio: 1.777778 };
+
+        html5QrCode.start(
+            { facingMode: "environment" },
+            config,
+            (decodedText) => {
+                scannedTextElement.textContent = decodedText;
+                resultContainer.style.display = 'block';
+            },
+            () => {}
+        ).catch((err) => {
+            console.error(err);
+            readerDiv.style.display = 'none';
+            scanBtn.textContent = '📷 Open camera-scanner';
+            scanBtn.classList.replace('btn-danger', 'btn-secondary');
+            fotoModus('De live camera kon niet starten. Neem in de plaats een foto van de code.');
+        });
+    }
+
+    function stopScanner() {
+        if (html5QrCode) {
+            html5QrCode.stop().then(() => {
+                readerDiv.style.display = 'none';
+                scanBtn.textContent = '📷 Open camera-scanner';
+                scanBtn.classList.replace('btn-danger', 'btn-secondary');
+            }).catch(err => console.error(err));
+        }
+    }
+
+    function copyToField(fieldId) {
+        const input = document.getElementById(fieldId);
+        input.value = scannedTextElement.textContent;
+        input.style.backgroundColor = '#d1fae5';
+        setTimeout(() => input.style.backgroundColor = '', 500);
+    }
+</script>
+{% endblock %}
diff --git a/templates/verzendlijst.html b/templates/verzendlijst.html
new file mode 100644
index 0000000..5bc5934
--- /dev/null
+++ b/templates/verzendlijst.html
@@ -0,0 +1,119 @@
+{% extends "base.html" %}
+
+{% block title %}{{ groep.naam }}{% endblock %}
+{% block page_title %}Verzendlijst{% endblock %}
+
+{% block extra_css %}
+<style>
+    .lijst-grid { display: grid; grid-template-columns: 1fr 1.6fr; gap: 20px; align-items: start; }
+    @media (max-width: 900px) { .lijst-grid { grid-template-columns: 1fr; } }
+    .lijst-grid .card { margin: 0; }
+    .mail { font-family: ui-monospace, SFMono-Regular, Menlo, monospace; font-size: .9em; }
+    .lid-acties { display: inline-flex; gap: 6px; align-items: center; justify-content: flex-end; }
+    .lid-acties form { margin: 0; }
+    .lid-acties select { width: auto; padding: 4px 6px; font-size: .9em; }
+    .toevoegen { display: grid; grid-template-columns: 1fr auto; gap: 10px; align-items: end; margin-bottom: 14px; }
+    .toevoegen textarea { min-height: 70px; }
+    .toevoegen .rechts { display: flex; flex-direction: column; gap: 8px; }
+    .zoek-lid { margin-bottom: 10px; }
+</style>
+{% endblock %}
+
+{% block content %}
+<p style="margin:0 0 14px"><a href="{{ url_for('verzendlijsten.overzicht') }}">← Alle verzendlijsten</a></p>
+
+<div class="lijst-grid">
+    <div class="card">
+        <h2 class="card-title">📮 {{ groep.naam }}</h2>
+        <p class="mail" style="margin-top:-6px">{{ groep.email }}</p>
+        {% if groep.aliassen %}<p class="muted small">Ook bereikbaar via: {{ groep.aliassen|join(', ') }}</p>{% endif %}
+
+        <form method="POST" action="{{ url_for('verzendlijsten.bewerken', email=groep.email) }}" onsubmit="showLoader('Opslaan...')">
+            <div class="field">
+                <label for="naam">Naam</label>
+                <input type="text" id="naam" name="naam" required value="{{ groep.naam }}">
+            </div>
+            <div class="field">
+                <label for="beschrijving">Beschrijving</label>
+                <textarea id="beschrijving" name="beschrijving" rows="3">{{ groep.beschrijving }}</textarea>
+            </div>
+            {% if huidig_wie %}
+            <div class="field">
+                <label for="wie_mailt">Wie mag mailen naar de lijst?</label>
+                <select id="wie_mailt" name="wie_mailt">
+                    {% for w, l in wie_mailt %}<option value="{{ w }}" {% if w == huidig_wie %}selected{% endif %}>{{ l }}</option>{% endfor %}
+                    {% if huidig_wie not in wie_mailt|map('first') %}<option value="" selected>Andere instelling ({{ huidig_wie }}) – niet wijzigen</option>{% endif %}
+                </select>
+            </div>
+            {% else %}
+            <p class="field-hint">"Wie mag mailen" kan hier niet getoond worden: daarvoor moet de scope
+                <code>apps.groups.settings</code> bij het serviceaccount staan en de Groups Settings API aan staan.</p>
+            {% endif %}
+            <button type="submit">💾 Opslaan</button>
+        </form>
+    </div>
+
+    <div class="card">
+        <div class="page-head">
+            <h2 style="margin:0">👥 Leden <span class="muted small">({{ leden|length }})</span></h2>
+        </div>
+        <form method="POST" action="{{ url_for('verzendlijsten.leden_toevoegen', email=groep.email) }}" class="toevoegen"
+              onsubmit="showLoader('Leden toevoegen...')">
+            <div class="field" style="margin:0">
+                <label for="adressen">Leden toevoegen</label>
+                <textarea id="adressen" name="adressen" placeholder="Eén of meer e-mailadressen (ook een andere verzendlijst), gescheiden door komma's of op aparte regels"></textarea>
+            </div>
+            <div class="rechts">
+                <select name="rol" aria-label="Rol">
+                    {% for r, l in rollen %}<option value="{{ r }}">{{ l }}</option>{% endfor %}
+                </select>
+                <button type="submit">➕ Toevoegen</button>
+            </div>
+        </form>
+
+        {% if leden|length > 10 %}
+        <input type="search" id="zoekLid" class="zoek-lid" placeholder="Zoek een lid..." aria-label="Zoek een lid">
+        {% endif %}
+        <div class="table-wrap">
+            <table>
+                <thead><tr><th>E-mailadres</th><th>Soort</th><th class="actions">Rol</th></tr></thead>
+                <tbody id="ledenBody">
+                {% for m in leden %}
+                    <tr data-zoek="{{ m.email|lower }}">
+                        <td class="mail">{{ m.email }}</td>
+                        <td class="muted small">{{ {'USER': 'Gebruiker', 'GROUP': 'Verzendlijst', 'CUSTOMER': 'Hele organisatie', 'EXTERNAL': 'Extern'}.get(m.soort, m.soort) }}</td>
+                        <td class="actions">
+                            <span class="lid-acties">
+                                <form method="POST" action="{{ url_for('verzendlijsten.lid_rol', email=groep.email) }}">
+                                    <input type="hidden" name="lid" value="{{ m.email }}">
+                                    <select name="rol" aria-label="Rol van {{ m.email }}" onchange="showLoader('Rol aanpassen...'); this.form.submit()">
+                                        {% for r, l in rollen %}<option value="{{ r }}" {% if r == m.rol %}selected{% endif %}>{{ l }}</option>{% endfor %}
+                                    </select>
+                                </form>
+                                <form method="POST" action="{{ url_for('verzendlijsten.lid_verwijderen', email=groep.email) }}"
+                                      onsubmit="return confirm('{{ m.email }} uit deze verzendlijst halen?') && (showLoader('Verwijderen...'), true)">
+                                    <input type="hidden" name="lid" value="{{ m.email }}">
+                                    <button type="submit" class="btn-sm btn-ghost" title="Uit de lijst halen">🗑️</button>
+                                </form>
+                            </span>
+                        </td>
+                    </tr>
+                {% else %}
+                    <tr class="empty-row"><td colspan="3">Deze verzendlijst heeft nog geen leden.</td></tr>
+                {% endfor %}
+                </tbody>
+            </table>
+        </div>
+    </div>
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    const zoekLid = document.getElementById('zoekLid');
+    if (zoekLid) zoekLid.addEventListener('input', () => {
+        const z = zoekLid.value.trim().toLowerCase();
+        document.querySelectorAll('#ledenBody tr').forEach(tr => tr.style.display = !z || (tr.dataset.zoek || '').includes(z) ? '' : 'none');
+    });
+</script>
+{% endblock %}
diff --git a/templates/verzendlijsten.html b/templates/verzendlijsten.html
new file mode 100644
index 0000000..ff2f0e9
--- /dev/null
+++ b/templates/verzendlijsten.html
@@ -0,0 +1,166 @@
+{% extends "base.html" %}
+
+{% block title %}Verzendlijsten{% endblock %}
+{% block page_title %}Verzendlijsten{% endblock %}
+{% block loader_text %}Verzendlijsten ophalen bij Google...{% endblock %}
+
+{% block extra_css %}
+<style>
+    .nieuw-grid { display: grid; grid-template-columns: 1.4fr 1.2fr 1.6fr; gap: 12px; align-items: end; }
+    .nieuw-grid .breed { grid-column: 1 / -1; }
+    .nieuw-grid .field { margin: 0; }
+    .adres-veld { display: flex; align-items: stretch; }
+    .adres-veld input { border-top-right-radius: 0; border-bottom-right-radius: 0; flex: 1; min-width: 0; }
+    .adres-veld select, .adres-veld .at { border-top-left-radius: 0; border-bottom-left-radius: 0; }
+    .adres-veld .at { display: grid; place-items: center; padding: 0 8px; background: var(--surface-muted);
+                      border: 1px solid var(--border); border-left: 0; border-right: 0; color: var(--text-muted); }
+    .adres-veld select { width: auto; max-width: 55%; }
+    @media (max-width: 760px) { .nieuw-grid { grid-template-columns: 1fr; } }
+    details.nieuw > summary { cursor: pointer; list-style: none; display: inline-flex; }
+    details.nieuw > summary::-webkit-details-marker { display: none; }
+    details.nieuw[open] > summary { margin-bottom: 14px; }
+    .zoekbalk { display: flex; gap: 10px; margin-bottom: 12px; }
+    .zoekbalk input { flex: 1; }
+    th.sorteer { cursor: pointer; user-select: none; white-space: nowrap; }
+    th.sorteer:hover { color: var(--primary-color); }
+    th.sorteer .pijl::after { content: "↕"; opacity: .35; margin-left: 2px; }
+    th.sorteer.op .pijl::after { content: "▲"; opacity: 1; }
+    th.sorteer.af .pijl::after { content: "▼"; opacity: 1; }
+    .tabel-voet { display: flex; flex-wrap: wrap; justify-content: space-between; align-items: center; gap: 10px; margin-top: 12px; }
+    .paginering { display: flex; flex-wrap: wrap; gap: 6px; align-items: center; }
+    td.mail { font-family: ui-monospace, SFMono-Regular, Menlo, monospace; font-size: .88em; }
+</style>
+{% endblock %}
+
+{% block content %}
+<div class="card">
+    <details class="nieuw" {% if not lijsten and not fout %}open{% endif %}>
+        <summary class="btn btn-success">➕ Nieuwe verzendlijst</summary>
+        <form method="POST" action="{{ url_for('verzendlijsten.nieuw') }}" class="nieuw-grid" onsubmit="showLoader('Verzendlijst aanmaken...')">
+            <div class="field">
+                <label for="adres">E-mailadres</label>
+                <div class="adres-veld">
+                    <input type="text" id="adres" name="adres" required placeholder="bv. leerkrachten-1ste-graad" autocomplete="off">
+                    {% if domeinen %}
+                    <span class="at">@</span>
+                    <select name="domein" aria-label="Domein">
+                        {% for d in domeinen %}<option>{{ d }}</option>{% endfor %}
+                    </select>
+                    {% endif %}
+                </div>
+            </div>
+            <div class="field">
+                <label for="naam">Naam</label>
+                <input type="text" id="naam" name="naam" required placeholder="bv. Leerkrachten 1ste graad">
+            </div>
+            <div class="field">
+                <label for="wie_mailt_n">Wie mag mailen naar de lijst?</label>
+                <select id="wie_mailt_n" name="wie_mailt">
+                    <option value="">Standaard van Google</option>
+                    {% for w, l in wie_mailt %}<option value="{{ w }}">{{ l }}</option>{% endfor %}
+                </select>
+            </div>
+            <div class="field breed">
+                <label for="beschrijving">Beschrijving</label>
+                <input type="text" id="beschrijving" name="beschrijving" placeholder="Waarvoor dient deze lijst? (optioneel)">
+            </div>
+            <div class="breed"><button type="submit">💾 Verzendlijst aanmaken</button></div>
+        </form>
+    </details>
+</div>
+
+<div class="card">
+    <div class="page-head">
+        <h2>📮 Verzendlijsten</h2>
+        <a class="btn btn-light btn-sm" href="{{ url_for('verzendlijsten.overzicht') }}" onclick="showLoader()">🔄 Vernieuwen</a>
+    </div>
+
+    {% if fout %}
+        <div class="alert alert-danger">{{ fout }}</div>
+    {% else %}
+    <div class="zoekbalk">
+        <input type="search" id="zoek" placeholder="Zoek op naam, adres of beschrijving..." aria-label="Zoeken">
+    </div>
+    <div class="table-wrap">
+        <table>
+            <thead>
+                <tr>
+                    <th class="sorteer" data-kol="0">Naam <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="1">E-mailadres <span class="pijl"></span></th>
+                    <th class="sorteer text-right" data-kol="2">Leden <span class="pijl"></span></th>
+                    <th class="sorteer" data-kol="3">Beschrijving <span class="pijl"></span></th>
+                    <th class="actions"></th>
+                </tr>
+            </thead>
+            <tbody id="lijstBody">
+            {% for g in lijsten %}
+                <tr data-zoek="{{ [g.naam, g.email, g.beschrijving]|join(' ')|lower }}">
+                    <td data-sort="{{ g.naam }}"><strong>{{ g.naam }}</strong></td>
+                    <td class="mail" data-sort="{{ g.email }}">{{ g.email }}{% if g.aliassen %}<br><span class="muted small">ook: {{ g.aliassen|join(', ') }}</span>{% endif %}</td>
+                    <td class="text-right" data-sort="{{ '%06d'|format(g.leden) }}">{{ g.leden }}</td>
+                    <td class="muted small" data-sort="{{ g.beschrijving }}">{{ g.beschrijving }}</td>
+                    <td class="actions"><a class="btn btn-sm btn-secondary" href="{{ url_for('verzendlijsten.detail', email=g.email) }}" onclick="showLoader('Leden ophalen...')">✏️ Openen</a></td>
+                </tr>
+            {% else %}
+                <tr class="empty-row"><td colspan="5">Er zijn nog geen verzendlijsten in Google.</td></tr>
+            {% endfor %}
+            </tbody>
+        </table>
+    </div>
+    <div class="tabel-voet">
+        <div style="display:flex;align-items:center;gap:14px;flex-wrap:wrap">
+            <div class="muted small" id="teller"></div>
+            <span id="perPagina"></span>
+        </div>
+        <nav class="paginering" id="paginering" aria-label="Pagina's"></nav>
+    </div>
+    {% endif %}
+</div>
+{% endblock %}
+
+{% block scripts %}
+<script>
+    (function () {
+        const body = document.getElementById('lijstBody');
+        if (!body || body.querySelector('.empty-row')) return;
+        let PER_PAGINA = perPagina('verzendlijsten'), pagina = 1, kol = null, op = true, zoek = '';
+        const zichtbaar = () => Array.from(body.rows).filter(tr => !zoek || tr.dataset.zoek.includes(zoek));
+        function toon() {
+            const rijen = zichtbaar(), grootte = PER_PAGINA || Infinity;
+            const paginas = Math.max(1, Math.ceil(rijen.length / grootte));
+            pagina = Math.min(Math.max(1, pagina), paginas);
+            const van = PER_PAGINA ? (pagina - 1) * PER_PAGINA : 0, tot = van + grootte;
+            Array.from(body.rows).forEach(tr => tr.style.display = 'none');
+            rijen.forEach((tr, i) => tr.style.display = (i >= van && i < tot) ? '' : 'none');
+            document.getElementById('teller').textContent = rijen.length
+                ? `${van + 1}–${Math.min(tot, rijen.length)} van ${rijen.length} verzendlijst(en)` : 'Geen verzendlijsten gevonden';
+            const nav = document.getElementById('paginering');
+            nav.innerHTML = '';
+            if (paginas <= 1) return;
+            const knop = (label, p, actief) => {
+                const b = document.createElement('button');
+                b.type = 'button'; b.textContent = label; b.className = 'btn-sm ' + (actief ? 'btn-secondary' : 'btn-light');
+                b.onclick = () => { pagina = p; toon(); };
+                nav.appendChild(b);
+            };
+            if (pagina > 1) { knop('«', 1); knop('‹ Vorige', pagina - 1); }
+            for (let p = Math.max(1, pagina - 2); p <= Math.min(paginas, pagina + 2); p++) knop(String(p), p, p === pagina);
+            if (pagina < paginas) { knop('Volgende ›', pagina + 1); knop('»', paginas); }
+        }
+        document.getElementById('zoek').addEventListener('input', e => { zoek = e.target.value.trim().toLowerCase(); pagina = 1; toon(); });
+        document.querySelectorAll('th.sorteer').forEach(th => th.addEventListener('click', () => {
+            const k = +th.dataset.kol;
+            op = kol === k ? !op : (k !== 2); kol = k;
+            document.querySelectorAll('th.sorteer').forEach(x => x.classList.remove('op', 'af'));
+            th.classList.add(op ? 'op' : 'af');
+            Array.from(body.rows).sort((a, b) => {
+                const c = (a.cells[k].dataset.sort || '').localeCompare(b.cells[k].dataset.sort || '', 'nl', { numeric: true, sensitivity: 'base' });
+                return op ? c : -c;
+            }).forEach(tr => body.appendChild(tr));
+            pagina = 1; toon();
+        }));
+        perPaginaKiezer(document.getElementById('perPagina'), 'verzendlijsten', n => { PER_PAGINA = n; pagina = 1; toon(); });
+        toon();
+    })();
+</script>
+{% endblock %}
diff --git a/tenancy.py b/tenancy.py
new file mode 100644
index 0000000..67d7813
--- /dev/null
+++ b/tenancy.py
@@ -0,0 +1,747 @@
+"""
+Meerdere scholen in één PIVOT.
+
+Elke school staat als één rij in de tabel `Scholen` van de CENTRALE database
+(config.ini › [database] › centrale_database). Per school worden bijgehouden:
+  - code, naam, e-maildomein(en) en eventueel eigen hostnamen
+  - de eigen PIVOT-database van die school
+  - alle koppelingen (Smartschool, Informat, Google, Signpost, ...) in `instellingen`
+  - het Google-serviceaccount (JSON-sleutel)
+Geheimen (wachtwoorden, client secrets, de Google-sleutel) worden versleuteld
+opgeslagen met de sleutel uit de omgevingsvariabele PIVOT_SLEUTEL (of het
+bestand geheimen/pivot.key).
+
+De 'huidige school' wordt per request bepaald (zie app.py) en kan buiten een
+request gezet worden met `in_school(school)` (achtergrondtaken).
+`Config.SS_API_PW` e.d. geven automatisch de waarde van de huidige school.
+"""
+import contextlib
+import contextvars
+import json
+import re
+import os
+import sys
+import threading
+import time
+from dataclasses import dataclass, field
+from datetime import date
+
+from cryptography.fernet import Fernet, InvalidToken
+
+BASE_DIR = os.path.dirname(os.path.abspath(__file__))
+
+
+class GeenSchoolFout(RuntimeError):
+    """Er is geen school gekozen voor deze actie."""
+
+
+class KoppelingOntbreekt(RuntimeError):
+    """Een koppeling (bv. de Google-sleutel) is voor deze school nog niet ingesteld."""
+
+
+# =====================================================================
+# Velden per school
+# =====================================================================
+@dataclass
+class Veld:
+    key: str                 # naam zoals gebruikt in de code (Config.<key>)
+    label: str
+    groep: str
+    soort: str = 'tekst'     # tekst | geheim | getal | janee | tekstvak | keuze
+    standaard: object = ''
+    hulp: str = ''
+    keuzes: tuple = ()       # bij soort 'keuze': ((waarde, label), ...)
+
+
+GROEPEN = [
+    ('algemeen', '🏫 Algemeen'),
+    ('database', '🗄️ Database'),
+    ('smartschool', '📘 Smartschool'),
+    ('informat', '📗 Informat'),
+    ('google', '🔑 Google Workspace'),
+    ('tweestaps', '🛡️ 2FA-hulp'),
+    ('personeel', '👩‍🏫 Personeel'),
+    ('co2', '🌬️ CO2-sensoren'),
+    ('m4s', '🔧 Signpost / M4S'),
+]
+
+ONDERWIJSNIVEAUS = (('kleuter', 'Kleuteronderwijs'), ('basis', 'Basisonderwijs'), ('secundair', 'Secundair onderwijs'))
+
+VELDEN = [
+    # --- algemeen ---
+    Veld('ADRES', 'Adres', 'algemeen', hulp='Straat, nummer, postcode en gemeente'),
+    Veld('ONDERWIJSNIVEAU', 'Onderwijsniveau', 'algemeen', 'keuze', keuzes=ONDERWIJSNIVEAUS,
+         hulp='Voor de subtotalen bij de leerlingenaantallen'),
+    Veld('INSTELLINGSNUMMER', 'Instellingsnummer (officieel)', 'algemeen',
+         hulp='Officieel instellingsnummer van de school (Onderwijs Vlaanderen)'),
+    Veld('ADMIN_EMAIL', 'Beheerder (Google-admin)', 'algemeen',
+         hulp='Account waarin het serviceaccount handelt, bv. ict@school.be'),
+    Veld('CONTACT_EMAIL', 'Contactadres op brieven/PDF', 'algemeen',
+         hulp='Leeg = beheerder'),
+    Veld('SCHOOLYEAR', 'Schooljaar', 'algemeen',
+         hulp='bv. 2026-27. Leeg = automatisch (wisselt op 1 september)'),
+    Veld('STANDAARD_WACHTWOORD', 'Startwachtwoord bij Google-reset', 'algemeen', 'tekst', 'Welkom01!',
+         hulp='Leeg = Welkom01!. Gebruikers moeten het bij de eerste login wijzigen'),
+
+    # --- database ---
+    Veld('DB_HOST', 'Server', 'database', hulp='Leeg = dezelfde server als de centrale database'),
+    Veld('DB_USER', 'Gebruiker', 'database', hulp='Leeg = standaardgebruiker uit config.ini'),
+    Veld('DB_PASSWORD', 'Wachtwoord', 'database', 'geheim', hulp='Leeg = standaardwachtwoord uit config.ini'),
+
+    # --- smartschool ---
+    Veld('SS_API_PLATFORM', 'Platform', 'smartschool', hulp='bv. school.smartschool.be'),
+    Veld('SS_API_PW', 'Webservice-wachtwoord', 'smartschool', 'geheim',
+         hulp='Smartschool › Beheer › Webservices'),
+    Veld('SS_CLIENT_ID', 'OneRoster client-ID', 'smartschool'),
+    Veld('SS_CLIENT_SECRET', 'OneRoster client-secret', 'smartschool', 'geheim'),
+    Veld('AFWEZIGHEID_CODES', 'Afwezigheidscodes bewaren', 'smartschool', standaard='B',
+         hulp='Komma-gescheiden, bv. B of B,R'),
+    Veld('LAATKOMER_CODES', 'Codes voor te laat', 'smartschool', standaard='L',
+         hulp='Afwezigheidscodes in Smartschool die "te laat" betekenen (voor Laatkomers), komma-gescheiden, bv. L'),
+    Veld('AFWEZIGHEID_SYNC_UUR', 'Uur dagelijkse synchronisatie', 'smartschool', 'getal', 6),
+    Veld('SS_SGR_GROEP', 'Hoofdgroep SGR groepen', 'smartschool', standaard='groepen GO-Antwerpen',
+         hulp='Naam of code van de Smartschool-groep waarvan PIVOT de subgroepen en hun leden toont (Smartschool › SGR groepen)'),
+
+    # --- informat ---
+    Veld('INFORMAT_INST_NUMBER', 'Instellingsnummer Informat', 'informat',
+         hulp='Nummer waarmee PIVOT zich bij Informat aanmeldt, bv. 040923. Haalt de school haar leerlingen uit '
+              'meer dan één instellingsnummer, zet ze dan allemaal hier met een naam: nummer=naam, gescheiden door '
+              'komma\'s, bv. 040774=Atheneum Irishof, 040791=Middenschool. PIVOT telt ze samen en toont ze apart.'),
+    Veld('INFORMAT_CAMPUSSEN_RAW', 'Campussen', 'informat',
+         hulp='Enkel voor een school met meerdere campussen: code=naam per campus, bv. 1=Campus Kapellen, '
+              '3=Campus Stabroek. De code is de waarde in het Campusveld hieronder (of anders het Discimus-nummer uit '
+              'iLeerlingen › Algemeen › Structuur).'),
+    Veld('INFORMAT_ID', 'Client-ID', 'informat'),
+    Veld('INFORMAT_SECRET', 'Client-secret', 'informat', 'geheim'),
+    Veld('INFORMAT_SCOPE', 'Scope', 'informat', standaard='api_informat_sas_leerlingen.leerlingen',
+         hulp='Het instellingsnummer wordt er automatisch achter gezet'),
+    Veld('INFORMAT_AUTH_URL', 'Token-URL', 'informat', standaard='https://www.identityserver.be/connect/token'),
+    Veld('INFORMAT_API_BASE', 'API-URL', 'informat', standaard='https://leerlingenapi.informatsoftware.be/1'),
+    Veld('INFORMAT_CAMPUS_VELD', 'Campusveld in de leerlingenlijst', 'informat',
+         hulp='Veld in de Informat-leerlingenlijst dat de campus aangeeft, bv. vestnrDiscimus. Ingevuld: PIVOT telt per waarde van dit veld; de namen haalt '
+              'het uit Campussen (waarde=naam).'),
+    Veld('INFORMAT_STUDENT_API', 'API-URL Student API (campussen)', 'informat',
+         standaard='https://studentapi.informatsoftware.be/api/v1'),
+    Veld('INFORMAT_PERSONEEL_API', 'API-URL Personeel API (GO! Pro)', 'informat',
+         standaard='https://personeelsapi.informatsoftware.be'),
+    Veld('INFORMAT_PERSONEEL_SCOPE', 'Scope Personeel API', 'informat', standaard='api_informat_sas_personeel.personeel',
+         hulp='Het instellingsnummer wordt er automatisch achter gezet. De Informat-client moet deze scope hebben'),
+    Veld('INFORMAT_FACTUUR_API', 'API-URL Rekeningen API (leerlingfacturatie)', 'informat',
+         standaard='https://api.informatsoftware.be/invoices/v1',
+         hulp='GraphQL op <API-URL>/graphql, PDF\'s op <API-URL>/download/...'),
+    Veld('INFORMAT_INTERNAAT_NUMMER', 'Instellingsnummer internaat', 'informat',
+         hulp='Instellingsnummer van het internaat in Informat (bv. 123456). Meer dan één: 123456=Internaat A, 234567=Internaat B. '
+              'Leeg = het instellingsnummer van de Informat-koppeling hierboven'),
+    Veld('INFORMAT_INTERNAAT_API', 'API-URL Internaat API', 'informat', standaard='https://internaatapi.informatsoftware.be'),
+    Veld('INFORMAT_INTERNAAT_SCOPE', 'Scope Internaat API', 'informat', standaard='api_informat_sas_internaat',
+         hulp='Het instellingsnummer van het internaat wordt er automatisch achter gezet'),
+    Veld('INFORMAT_FACTUUR_GROEP', 'Toegangsgroep Rekeningen', 'informat',
+         hulp='Naam van de toegangsgroep in Rekeningen, zoals in Informat (bv. 000448 BS Irishof Kapellen). PIVOT zoekt '
+              'daarmee zelf de juiste scope. Meer dan één: scheiden met een puntkomma'),
+    Veld('INFORMAT_FACTUUR_SCOPE', 'Scope Rekeningen API', 'informat',
+         hulp='De volledige scope, bv. api_informat_invoices.invoices.read.2949957b-5dc1-4acc-a7cf-ba322b62cb12_123456 '
+              '(toegangsgroep-GUID _ installatie-ID). Informat mailt die naar de eigenaar van de app zodra de school '
+              'toegang geeft tot de rekeningen. Leeg = PIVOT probeert hem zelf te vinden. Meer dan één: komma ertussen'),
+
+    # --- google ---
+    Veld('GOOGLE_SSO_CLIENTID', 'Google-login client-ID', 'google',
+         hulp='Leeg = de gedeelde Google-login uit config.ini'),
+    Veld('GOOGLE_SSO_CLIENTSECRET', 'Google-login client-secret', 'google', 'geheim'),
+    Veld('STUDENT_OU', 'OU nieuwe leerlingen', 'google', standaard='Leerlingen/Leerlingen',
+         hulp='Het schooljaar wordt er automatisch achter gezet'),
+    Veld('OU_NIEUWE_LEERKRACHTEN', 'OU nieuwe leerkrachten', 'google', standaard='/Leerkrachten'),
+    Veld('CHROMEBOOK_OUS', 'OU\'s van de Chromebooks', 'google',
+         hulp='Voor "Chromebooks ophalen uit Google": volledige paden, gescheiden door komma\'s (sub-OU\'s tellen mee), '
+              'bv. /ChromeBooks Medewerkers, /ChromeBooks Leerlingen. Leeg = alle Chromebooks van het domein.'),
+    Veld('GOOGLE_SMTP_SERVER', 'SMTP-server', 'google', standaard='smtp-relay.gmail.com'),
+    Veld('GOOGLE_SMTP_PORT', 'SMTP-poort', 'google', 'getal', 587),
+    Veld('GOOGLE_SMTP_SENDER_adres', 'Afzender e-mails', 'google', hulp='bv. noreply@school.be'),
+    Veld('GOOGLE_SMTP_EMAIL_PASSWORD', 'SMTP-wachtwoord', 'google', 'geheim',
+         hulp='Leeg bij een relay die op IP-adres werkt'),
+    Veld('GOOGLE_API_SCOPES_RAW', 'API-scopes', 'google', 'tekstvak',
+         '\n'.join([
+             'https://www.googleapis.com/auth/admin.directory.user',
+             'https://www.googleapis.com/auth/admin.directory.device.chromeos',
+             'https://www.googleapis.com/auth/admin.directory.device.mobile',
+             'https://www.googleapis.com/auth/admin.directory.device.chromeos.readonly',
+             'https://www.googleapis.com/auth/admin.directory.device.mobile.readonly',
+             'https://www.googleapis.com/auth/admin.directory.orgunit',
+         ])),
+
+    # --- 2FA ---
+    Veld('TWEESTAPS_UITZONDERING_GROEP', 'Uitzonderingsgroep', 'tweestaps',
+         hulp='Groep waarvoor 2FA NIET wordt afgedwongen'),
+    Veld('TWEESTAPS_OUS', 'OU\'s voor "nog geen 2FA"', 'tweestaps', standaard='/Leerkrachten'),
+
+    # --- personeel ---
+    Veld('PERSONEEL_OUS', 'Personeels-OU\'s', 'personeel', standaard='/Leerkrachten'),
+    Veld('PERSONEEL_DIRECTIE', 'Directie (e-mails)', 'personeel'),
+    Veld('PERSONEEL_SECRETARIAAT', 'Secretariaat (e-mails)', 'personeel'),
+    Veld('PERSONEEL_SECRETARIAAT_MAIL', 'Gedeeld secretariaatsadres', 'personeel'),
+    Veld('PERSONEEL_MAILS', 'E-mails versturen', 'personeel', 'janee', True),
+
+    # --- CO2 ---
+    Veld('CO2_NETWORK', 'Netwerk (prefix)', 'co2', hulp='bv. 10.166.0. — moet bereikbaar zijn vanaf de PIVOT-server'),
+    Veld('CO2_START_ADDR', 'Beginadres', 'co2', 'getal', 80),
+    Veld('CO2_END_ADDR', 'Eindadres', 'co2', 'getal', 155),
+    Veld('CO2_THRESHOLD', 'Drempel (ppm)', 'co2', 'getal', 900),
+    Veld('CO2_INTERVAL', 'Scaninterval (min)', 'co2', 'getal', 5),
+
+    # --- M4S / Signpost ---
+    Veld('M4S_CLIENT_ID', 'Client-ID', 'm4s'),
+    Veld('M4S_CLIENT_SECRET', 'Client-secret', 'm4s', 'geheim'),
+    Veld('M4S_INSTITUTIONGUID', 'Institution GUID', 'm4s'),
+    Veld('M4S_AUTH_URL', 'Token-URL', 'm4s', standaard='https://idp.signpost.eu/oauth2/token'),
+    Veld('M4S_BASE_URL', 'API-URL', 'm4s', standaard='https://byod-api.signpost.be/v1/field-service'),
+    Veld('M4S_REPAIR_LOCATION_TYPE', 'Locatietype herstelling', 'm4s', standaard='100'),
+    Veld('M4S_REPAIR_STATUS', 'Status nieuwe herstelling', 'm4s', standaard='new'),
+    Veld('M4S_TRUTH_STATEMENT', 'Truth statement', 'm4s', standaard='True'),
+    Veld('M4S_REPAIR_AT_INTITUTION', 'Herstelling op school', 'm4s', standaard='True'),
+    Veld('M4S_LANGUAGE_CODE', 'Taalcode', 'm4s', standaard='nl'),
+    Veld('M4S_CONTACT_FIRST_NAME', 'Contact voornaam', 'm4s'),
+    Veld('M4S_CONTACT_LAST_NAME', 'Contact achternaam', 'm4s'),
+    Veld('M4S_CONTACT_EMAIL', 'Contact e-mail', 'm4s'),
+    Veld('M4S_CONTACT_PHONE', 'Contact telefoon', 'm4s'),
+    Veld('M4S_REPAIR_STREET', 'Straat', 'm4s'),
+    Veld('M4S_REPAIR_STREETNUMBER', 'Huisnummer', 'm4s'),
+    Veld('M4S_REPAIR_ZIPCODE', 'Postcode', 'm4s'),
+    Veld('M4S_REPAIIR_CITY', 'Gemeente', 'm4s'),
+    Veld('M4S_REPAIR_COUNTRYCODE', 'Landcode', 'm4s', standaard='BE'),
+    Veld('M4S_BILLING_FIRST_NAME', 'Facturatie voornaam', 'm4s'),
+    Veld('M4S_BILLING_LAST_NAME', 'Facturatie achternaam', 'm4s'),
+    Veld('M4S_BILLING_EMAIL', 'Facturatie e-mail', 'm4s'),
+    Veld('M4S_BILLING_PHONE', 'Facturatie telefoon', 'm4s'),
+]
+VELD = {v.key: v for v in VELDEN}
+
+
+def informat_campussen(waarde):
+    """'040923=Campus Centrum, 041000=Campus Hoogboom' → [('040923', 'Campus Centrum'), ('041000', 'Campus Hoogboom')].
+    Zonder naam krijgt een campus 'Campus <nummer>'; met één nummer is de naam leeg."""
+    delen = [d.strip() for d in str(waarde or '').replace(';', ',').split(',') if d.strip()]
+    uit = []
+    for d in delen:
+        nummer, _, naam = d.partition('=')
+        nummer, naam = nummer.strip(), naam.strip()
+        if nummer and nummer not in [n for n, _ in uit]:
+            uit.append((nummer, naam or (f"Campus {nummer}" if len(delen) > 1 else '')))
+    return uit
+
+
+def informat_scope(basis, nummer):
+    """Informat-scope voor één instellingsnummer: '<scope>.<nummer>'. Eindigt de ingestelde scope al op
+    '.<cijfers>' (een instellingsnummer), dan wordt dat vervangen."""
+    basis = re.sub(r'\.\d+$', '', str(basis or '').strip())
+    return f"{basis}.{nummer}"
+
+
+def _automatisch_schooljaar(vandaag=None):
+    vandaag = vandaag or date.today()
+    start = vandaag.year if vandaag.month >= 9 else vandaag.year - 1
+    return f"{start}-{str(start + 1)[-2:]}"
+
+
+def _lijst(waarde):
+    return [x.strip() for x in str(waarde or '').replace(';', ',').split(',') if x.strip()]
+
+
+# Afgeleide waarden: oude Config-namen die uit andere velden berekend worden
+def _afgeleid():
+    return {
+        'SCHOOL_DOMAIN': lambda s: s.domein,
+        'SCHOOLNAME': lambda s: s.naam,
+        'SCHOOLNAME_SHORT': lambda s: s.code,
+        'GOOGLE_ADMIN_EMAIL': lambda s: s.get('ADMIN_EMAIL'),
+        'CONTACT_EMAIL': lambda s: s.waarden.get('CONTACT_EMAIL') or s.get('ADMIN_EMAIL'),
+        'SCHOOLYEAR': lambda s: s.waarden.get('SCHOOLYEAR') or _automatisch_schooljaar(),
+        'INFORMAT_SCHOOLYEAR': lambda s: s.get('SCHOOLYEAR'),
+        'OU_NEW_STUDENTS': lambda s: f"{s.get('STUDENT_OU')} {s.get('SCHOOLYEAR')}",
+        'GOOGLE_API_SCOPES': lambda s: [x.strip() for x in str(s.get('GOOGLE_API_SCOPES_RAW')).split() if x.strip()],
+        'SS_API_PLATFORM': lambda s: (s.waarden.get('SS_API_PLATFORM') or '').replace('https://', '')
+                                       .replace('http://', '').split('/')[0],
+        'SS_WSDL_URL': lambda s: f"https://{s.get('SS_API_PLATFORM')}/Webservices/V3?wsdl",
+        'SS_TOKEN_URL': lambda s: f"https://{s.get('SS_API_PLATFORM')}/ims/oneroster/token",
+        'SS_BASE_URL': lambda s: f"https://{s.get('SS_API_PLATFORM')}/ims/oneroster/v1p1",
+        # Eén of meer Informat-instellingsnummers: [(nummer, naam), ...]
+        'INFORMAT_CAMPUSSEN': lambda s: informat_campussen(s.waarden.get('INFORMAT_INST_NUMBER')),
+        # Campussen (vestigingen) binnen het instellingsnummer, op Discimus-nummer: [(discimus_id, naam), ...]
+        'INFORMAT_LOCATIES': lambda s: informat_campussen(s.waarden.get('INFORMAT_CAMPUSSEN_RAW')),
+        # Eerste nummer: voor alles wat maar één nummer kent
+        'INFORMAT_INST_NUMBER': lambda s: (informat_campussen(s.waarden.get('INFORMAT_INST_NUMBER')) or [('', '')])[0][0],
+        'INFORMAT_FULL_SCOPE': lambda s: informat_scope(s.get('INFORMAT_SCOPE'), s.get('INFORMAT_INST_NUMBER')),
+        'DB_NAME': lambda s: s.db_naam,
+    }
+
+
+AFGELEID = _afgeleid()
+
+
+# =====================================================================
+# Versleuteling
+# =====================================================================
+_fernet = None
+_ENC = 'enc:'
+
+
+def _sleutelbestand():
+    return os.environ.get('PIVOT_SLEUTEL_BESTAND',
+                          os.path.join(os.environ.get('PIVOT_GEHEIMEN', os.path.join(BASE_DIR, 'geheimen')), 'pivot.key'))
+
+
+def fernet():
+    global _fernet
+    if _fernet is None:
+        sleutel = os.environ.get('PIVOT_SLEUTEL', '').strip()
+        if not sleutel:
+            pad = _sleutelbestand()
+            if os.path.exists(pad):
+                with open(pad) as f:
+                    sleutel = f.read().strip()
+            else:
+                os.makedirs(os.path.dirname(pad), exist_ok=True)
+                sleutel = Fernet.generate_key().decode()
+                with open(pad, 'w') as f:
+                    f.write(sleutel)
+                try:
+                    os.chmod(pad, 0o600)
+                except OSError:
+                    pass
+                sys.stderr.write(f"PIVOT: nieuwe versleutelingssleutel aangemaakt in {pad}. "
+                                 "MAAK HIER EEN BACK-UP VAN: zonder deze sleutel zijn de opgeslagen geheimen onleesbaar.\n")
+        _fernet = Fernet(sleutel.encode())
+    return _fernet
+
+
+def versleutel(tekst):
+    if tekst in (None, ''):
+        return ''
+    return _ENC + fernet().encrypt(str(tekst).encode()).decode()
+
+
+def ontsleutel(waarde):
+    if not isinstance(waarde, str) or not waarde.startswith(_ENC):
+        return waarde
+    try:
+        return fernet().decrypt(waarde[len(_ENC):].encode()).decode()
+    except InvalidToken:
+        sys.stderr.write("PIVOT: kan een geheim niet ontsleutelen (verkeerde PIVOT_SLEUTEL?).\n")
+        return ''
+
+
+# =====================================================================
+# School
+# =====================================================================
+class School:
+    def __init__(self, row):
+        self.id = row['School_ID']
+        self.code = row['Code']
+        self.naam = row['School_naam']
+        self.domeinen = [d.lower().lstrip('@') for d in _lijst(row.get('Domein'))]
+        self.hostnamen = [h.lower() for h in _lijst(row.get('Hostnamen'))]
+        self.actief = bool(row.get('Actief', 1))
+        self.db_naam = row['Db_naam']
+        self.versie = str(row.get('Bijgewerkt') or '')
+        self.leerlingenaantal = row.get('Leerlingenaantal')
+        self.leerlingenaantal_sync = row.get('Leerlingenaantal_sync')
+        self.leerlingenaantal_detail = _json_of_none(row.get('Leerlingenaantal_detail'))
+        ruw = json.loads(row.get('Instellingen') or '{}')
+        self.waarden = {k: ontsleutel(v) for k, v in ruw.items()}
+        for key, kolom in KOLOM_VELDEN.items():
+            if row.get(kolom):
+                self.waarden[key] = row[kolom]
+        sleutel = ontsleutel(row.get('Google_sleutel') or '')
+        self.google_sleutel = json.loads(sleutel) if sleutel else None
+        self.cache = {}          # per-school objecten (services, caches); leeg na elke wijziging
+        self._lock = threading.RLock()   # herbruikbaar: een object kan bij aanmaak zelf een object vragen
+
+    @property
+    def domein(self):
+        return self.domeinen[0] if self.domeinen else ''
+
+    def get(self, key):
+        if key in AFGELEID:
+            return AFGELEID[key](self)
+        veld = VELD.get(key)
+        if veld is None:
+            raise AttributeError(f"Onbekende instelling '{key}'")
+        waarde = self.waarden.get(key, '')
+        if waarde in (None, ''):
+            waarde = veld.standaard
+        if veld.soort == 'getal':
+            try:
+                return int(waarde)
+            except (TypeError, ValueError):
+                return int(veld.standaard or 0)
+        if veld.soort == 'janee':
+            return str(waarde).lower() in ('1', 'true', 'ja', 'yes', 'on')
+        return waarde
+
+    def heeft(self, *keys):
+        """True als alle opgegeven instellingen ingevuld zijn."""
+        return all(str(self.waarden.get(k) or '').strip() for k in keys)
+
+    def db_config(self):
+        from config import Config
+        return {
+            'host': self.waarden.get('DB_HOST') or Config.DB_HOST,
+            'user': self.waarden.get('DB_USER') or Config.DB_USER,
+            'password': self.waarden.get('DB_PASSWORD') or Config.DB_PASSWORD,
+            'database': self.db_naam,
+        }
+
+    def object(self, sleutel, maak):
+        """Eén object per school (bv. een service) bijhouden; `maak()` loopt binnen de schoolcontext."""
+        obj = self.cache.get(sleutel)
+        if obj is None:
+            with self._lock:
+                obj = self.cache.get(sleutel)
+                if obj is None:
+                    with in_school(self):
+                        obj = maak()
+                    self.cache[sleutel] = obj
+        return obj
+
+    def __repr__(self):
+        return f"<School {self.code}>"
+
+
+# =====================================================================
+# Register (uit de centrale database)
+# =====================================================================
+_register = {'t': 0, 'scholen': {}}
+_register_lock = threading.Lock()
+CACHE_SECONDEN = 30
+
+# Tabel Scholen (zie de PDF-structuur): de velden School_naam, Smartschool_platform_url, Adres,
+# Instellingsnummer en Domein staan als echte kolommen; alle andere koppelingen in `Instellingen` (JSON).
+SCHEMA = """
+CREATE TABLE IF NOT EXISTS Scholen (
+    School_ID                INT          NOT NULL AUTO_INCREMENT PRIMARY KEY,
+    Code                     VARCHAR(32)  NOT NULL,
+    School_naam              VARCHAR(255) NOT NULL,
+    Smartschool_platform_url VARCHAR(255) NULL,
+    Adres                    VARCHAR(255) NULL,
+    Instellingsnummer        VARCHAR(20)  NULL,
+    Informat_instellingsnummer VARCHAR(500) NULL,
+    Onderwijsniveau          VARCHAR(20)  NULL,
+    Domein                   VARCHAR(500) NOT NULL DEFAULT '',
+    Hostnamen                VARCHAR(500) NOT NULL DEFAULT '',
+    Actief                   TINYINT      NOT NULL DEFAULT 1,
+    Db_naam                  VARCHAR(128) NOT NULL,
+    Instellingen             MEDIUMTEXT   NULL,
+    Google_sleutel           MEDIUMTEXT   NULL,
+    Leerlingenaantal         INT          NULL,
+    Leerlingenaantal_sync    DATETIME     NULL,
+    Leerlingenaantal_detail  TEXT         NULL,
+    Bijgewerkt               DATETIME(6)  NULL,
+    Bijgewerkt_door          VARCHAR(255) NULL,
+    UNIQUE KEY uq_scholen_code (Code)
+) ENGINE=InnoDB"""
+
+# Velden die als eigen kolom in Scholen staan i.p.v. in de JSON `Instellingen`
+KOLOM_VELDEN = {
+    'SS_API_PLATFORM': 'Smartschool_platform_url',
+    'INSTELLINGSNUMMER': 'Instellingsnummer',                       # officieel nummer
+    'INFORMAT_INST_NUMBER': 'Informat_instellingsnummer',          # nummer voor de Informat-koppeling
+    'ADRES': 'Adres',
+    'ONDERWIJSNIVEAU': 'Onderwijsniveau',                          # kleuter | basis | secundair
+}
+
+
+def ensure_schema():
+    """Centrale database: Scholen + gebruikers, rechten, logs en bugs (zie rechten.py)."""
+    from database import central_query
+    import rechten
+    # Database die van Windows komt (tabelnamen in kleine letters) op een Linux-server: eerst de namen herstellen,
+    # anders maakt PIVOT hieronder lege tabellen met hoofdletters aan naast de echte
+    try:
+        from services.tabelnamen import herstel_centraal
+        herstel_centraal()
+    except Exception as e:
+        sys.stderr.write(f"PIVOT: tabelnamen centrale database nakijken mislukt: {e}\n")
+    controleer_oude_tabellen()      # eerst controleren, dan pas aanmaken
+    central_query(SCHEMA, commit=True)
+    _migreer_informat_nummer()
+    rechten.ensure_schema()
+    _kolommen_bijwerken()
+
+
+def _json_of_none(t):
+    try:
+        return json.loads(t) if t else None
+    except ValueError:
+        return None
+
+
+def _kolommen_bijwerken():
+    """Kolommen die later bijkwamen of groter werden (bestaande installaties)."""
+    from database import central_query
+    kol = {(r['TABLE_NAME'].lower(), r['COLUMN_NAME'].lower()): r for r in central_query(
+        "SELECT TABLE_NAME, COLUMN_NAME, CHARACTER_MAXIMUM_LENGTH FROM information_schema.COLUMNS "
+        "WHERE TABLE_SCHEMA = DATABASE() AND TABLE_NAME IN ('Scholen', 'Leerlingenaantal_tellingen')")}
+    r = kol.get(('scholen', 'informat_instellingsnummer'))
+    if r and (r['CHARACTER_MAXIMUM_LENGTH'] or 0) < 500:
+        central_query("ALTER TABLE Scholen MODIFY Informat_instellingsnummer VARCHAR(500) NULL", commit=True)
+    if ('scholen', 'leerlingenaantal_detail') not in kol:
+        central_query("ALTER TABLE Scholen ADD COLUMN Leerlingenaantal_detail TEXT NULL AFTER Leerlingenaantal_sync",
+                      commit=True)
+    if ('scholen', 'onderwijsniveau') not in kol:
+        central_query("ALTER TABLE Scholen ADD COLUMN Onderwijsniveau VARCHAR(20) NULL AFTER Informat_instellingsnummer",
+                      commit=True)
+    if ('leerlingenaantal_tellingen', 'detail') not in kol:
+        central_query("ALTER TABLE Leerlingenaantal_tellingen ADD COLUMN Detail TEXT NULL AFTER Aantal", commit=True)
+
+
+def _migreer_informat_nummer():
+    """Vroeger stond het Informat-nummer in de kolom Instellingsnummer. Die kolom is nu voor het officiële
+    nummer; het Informat-nummer krijgt een eigen kolom. Eénmalig: enkel als die kolom nog niet bestaat."""
+    from database import central_query
+    bestaat = central_query("SELECT COUNT(*) AS n FROM information_schema.COLUMNS WHERE TABLE_SCHEMA = DATABASE() "
+                            "AND TABLE_NAME = 'Scholen' AND COLUMN_NAME = 'Informat_instellingsnummer'")[0]['n']
+    if bestaat:
+        return
+    central_query("ALTER TABLE Scholen ADD COLUMN Informat_instellingsnummer VARCHAR(500) NULL AFTER Instellingsnummer",
+                  commit=True)
+    central_query("UPDATE Scholen SET Informat_instellingsnummer = Instellingsnummer, Instellingsnummer = NULL, "
+                  "Bijgewerkt = NOW(6) WHERE Instellingsnummer IS NOT NULL", commit=True)
+
+
+# Tabel → kolom die in de nieuwe structuur moet bestaan. Ontbreekt die, dan staat er nog een
+# oude tabel met dezelfde naam (MySQL op Windows maakt geen onderscheid tussen hoofd- en kleine letters).
+NIEUWE_KOLOMMEN = {'Scholen': 'School_ID', 'Gebruikers': 'Gebruiker_ID', 'Logs': 'Log_ID',
+                   'Status': 'Bugstatus_ID', 'Bugs': 'Bug_ID'}
+
+
+def controleer_oude_tabellen():
+    """Stopt als er een tabel met dezelfde naam bestaat, maar zonder de nieuwe structuur (en geen nieuwe ernaast)."""
+    from database import central_query
+    oud = []
+    for tabel, kolom in NIEUWE_KOLOMMEN.items():
+        rows = central_query(
+            "SELECT COUNT(*) AS n, COALESCE(SUM(LOWER(COLUMN_NAME) = LOWER(%s)), 0) AS heeft "
+            "FROM information_schema.COLUMNS WHERE TABLE_SCHEMA = DATABASE() AND LOWER(TABLE_NAME) = LOWER(%s)",
+            (kolom, tabel))
+        if rows and rows[0]['n'] and not int(rows[0]['heeft']):
+            oud.append(tabel)
+    if oud:
+        raise RuntimeError(
+            f"De centrale database bevat nog oude tabellen met dezelfde naam: {', '.join(oud)}. "
+            "Gebruik een nieuwe, lege database (config.ini › centrale_database) of hernoem die tabellen eerst.")
+
+
+def herlaad(force=False):
+    """Leest de scholen opnieuw in. Ongewijzigde scholen behouden hun object (en dus hun caches)."""
+    from database import central_query
+    with _register_lock:
+        if not force and time.time() - _register['t'] < CACHE_SECONDEN:
+            return _register['scholen']
+        try:
+            rows = central_query("SELECT * FROM Scholen ORDER BY School_naam")
+        except Exception as e:
+            sys.stderr.write(f"PIVOT: scholen inlezen mislukt: {e}\n")
+            return _register['scholen']
+        oud = _register['scholen']
+        nieuw = {}
+        for r in rows:
+            s = oud.get(r['Code'])
+            if s is None or s.versie != str(r.get('Bijgewerkt') or ''):
+                try:
+                    s = School(r)
+                except Exception as e:
+                    sys.stderr.write(f"PIVOT: school {r.get('Code')} kan niet geladen worden: {e}\n")
+                    continue
+            else:
+                s.leerlingenaantal = r.get('Leerlingenaantal')
+                s.leerlingenaantal_sync = r.get('Leerlingenaantal_sync')
+                s.leerlingenaantal_detail = _json_of_none(r.get('Leerlingenaantal_detail'))
+            nieuw[r['Code']] = s
+        _register.update(t=time.time(), scholen=nieuw)
+        return nieuw
+
+
+def alle_scholen(ook_inactief=False):
+    return [s for s in herlaad().values() if ook_inactief or s.actief]
+
+
+def school_op_code(code, ook_inactief=False):
+    s = herlaad().get(code or '')
+    return s if s and (ook_inactief or s.actief) else None
+
+
+def scholen_voor_email(email):
+    """Alle (actieve) scholen met het e-maildomein van `email`. Meerdere scholen mogen hetzelfde domein delen."""
+    domein = (email or '').lower().rsplit('@', 1)[-1]
+    return [s for s in alle_scholen() if domein and domein in s.domeinen]
+
+
+def school_voor_email(email):
+    """De (eerste) school met dit e-maildomein; zie scholen_voor_email als het domein gedeeld wordt."""
+    lijst = scholen_voor_email(email)
+    return lijst[0] if lijst else None
+
+
+def school_voor_host(host):
+    host = (host or '').lower().split(':')[0]
+    for s in alle_scholen():
+        if host in s.hostnamen:
+            return s
+    return None
+
+
+def opslaan(code, naam, domeinen, hostnamen, db_naam, actief, waarden, google_sleutel=None,
+            gebruiker=None, nieuw=False):
+    """Schrijft een school weg. `waarden` bevat de leesbare waarden; geheimen worden hier versleuteld."""
+    from database import central_query
+    opgeslagen, kolommen = {}, {k: None for k in KOLOM_VELDEN.values()}
+    for k, v in waarden.items():
+        if k not in VELD or v in (None, ''):
+            continue
+        if k in KOLOM_VELDEN:
+            kolommen[KOLOM_VELDEN[k]] = v
+            continue
+        opgeslagen[k] = versleutel(v) if VELD[k].soort == 'geheim' else v
+    sleutel_enc = versleutel(json.dumps(google_sleutel)) if google_sleutel else None
+    kol = list(kolommen)
+    if nieuw:
+        central_query(
+            "INSERT INTO Scholen (Code, School_naam, Domein, Hostnamen, Db_naam, Actief, Instellingen, Google_sleutel, "
+            f"{', '.join(kol)}, Bijgewerkt, Bijgewerkt_door) "
+            f"VALUES (%s,%s,%s,%s,%s,%s,%s,%s,{','.join(['%s'] * len(kol))},NOW(6),%s)",
+            (code, naam, domeinen, hostnamen, db_naam, int(bool(actief)), json.dumps(opgeslagen),
+             sleutel_enc, *[kolommen[k] for k in kol], gebruiker), commit=True)
+    else:
+        central_query(
+            "UPDATE Scholen SET School_naam=%s, Domein=%s, Hostnamen=%s, Db_naam=%s, Actief=%s, Instellingen=%s, "
+            f"Google_sleutel=COALESCE(%s, Google_sleutel), {', '.join(k + '=%s' for k in kol)}, "
+            "Bijgewerkt=NOW(6), Bijgewerkt_door=%s WHERE Code=%s",
+            (naam, domeinen, hostnamen, db_naam, int(bool(actief)), json.dumps(opgeslagen),
+             sleutel_enc, *[kolommen[k] for k in kol], gebruiker, code), commit=True)
+    herlaad(force=True)
+
+
+def wis_google_sleutel(code, gebruiker=None):
+    from database import central_query
+    central_query("UPDATE Scholen SET Google_sleutel=NULL, Bijgewerkt=NOW(6), Bijgewerkt_door=%s WHERE Code=%s",
+                  (gebruiker, code), commit=True)
+    herlaad(force=True)
+
+
+# =====================================================================
+# Huidige school
+# =====================================================================
+_huidige = contextvars.ContextVar('pivot_school', default=None)
+
+
+def huidige_school(verplicht=True):
+    s = _huidige.get()
+    if s is None:
+        try:
+            from flask import g, has_request_context
+            if has_request_context():
+                s = g.get('school')
+        except ImportError:
+            pass
+    if s is None and verplicht:
+        raise GeenSchoolFout("Er is geen school gekozen. Log opnieuw in.")
+    return s
+
+
+@contextlib.contextmanager
+def in_school(school):
+    token = _huidige.set(school)
+    try:
+        yield school
+    finally:
+        _huidige.reset(token)
+
+
+def met_school(fn):
+    """Verpakt `fn` zodat hij in een andere thread in de huidige school loopt."""
+    school = huidige_school()
+
+    def wrapper(*a, **kw):
+        with in_school(school):
+            return fn(*a, **kw)
+    return wrapper
+
+
+def voor_elke_school(fn, *, vereist=()):
+    """Voert fn() uit voor elke actieve school (die de opgegeven instellingen heeft)."""
+    for s in alle_scholen():
+        if vereist and not s.heeft(*vereist):
+            continue
+        try:
+            with in_school(s):
+                fn()
+        except Exception as e:
+            sys.stderr.write(f"[{s.code}] {getattr(fn, '__qualname__', fn)}: {e}\n")
+
+
+class per_school:
+    """
+    Vervanger voor een module-niveau object (bv. `service = per_school(GoogleAdminService)`).
+    Elke school krijgt een eigen instantie, aangemaakt bij het eerste gebruik.
+    """
+    def __init__(self, maak):
+        self._maak = maak
+
+    def get(self):
+        return huidige_school().object(('per_school', id(self)), self._maak)
+
+    def __getattr__(self, naam):
+        return getattr(self.get(), naam)
+
+    def __setattr__(self, naam, waarde):
+        if naam.startswith('_'):
+            object.__setattr__(self, naam, waarde)
+        else:
+            setattr(self.get(), naam, waarde)
+
+
+def school_singleton(cls, init):
+    """Eén instantie van `cls` per school. `init(inst)` zet de begintoestand."""
+    def maak():
+        inst = object.__new__(cls)
+        init(inst)
+        return inst
+    return huidige_school().object(('singleton', cls.__qualname__), maak)
+
+
+class SchoolLijst:
+    """Lijst die bij elk gebruik uit de huidige school gelezen wordt (bv. toegangsgroepen)."""
+    def __init__(self, key):
+        self.key = key
+
+    def _w(self):
+        return huidige_school().get(self.key)
+
+    def __contains__(self, x):
+        return x in self._w()
+
+    def __iter__(self):
+        return iter(self._w())
+
+
+# =====================================================================
+# Google-serviceaccount
+# =====================================================================
+_GEEN = object()
+
+
+def google_credentials(scopes, subject=_GEEN):
+    """Credentials van het serviceaccount van de huidige school, gedelegeerd naar `subject`.
+    Wordt een subject gevraagd maar is het leeg (bv. 'Beheerder (Google-admin)' niet ingevuld), dan stoppen
+    we met een duidelijke melding: zonder subject geeft Google enkel een vaag 'Invalid Input'."""
+    from google.oauth2 import service_account
+    s = huidige_school()
+    if not s.google_sleutel:
+        raise KoppelingOntbreekt(f"Voor {s.naam} is nog geen Google-serviceaccount (JSON-sleutel) ingesteld. "
+                                 "Een beheerder kan die toevoegen via 🔌 Koppelingen van deze school.")
+    if subject is not _GEEN and not (subject or '').strip():
+        raise KoppelingOntbreekt(f"Voor {s.naam} is 'Beheerder (Google-admin)' nog niet ingevuld "
+                                 "(🔌 Koppelingen van deze school › Algemeen, bv. ict@school.be). "
+                                 "PIVOT werkt in Google namens dat account.")
+    if subject is _GEEN:
+        subject = None
+    creds = service_account.Credentials.from_service_account_info(s.google_sleutel, scopes=list(scopes))
+    return creds.with_subject(subject) if subject else creds