Phase 10: Mandantenfaehigkeit

Ein Server, mehrere Wehren. Ein Konto, mehrere Zugehoerigkeiten. Eine
Kreisebene, die zusieht.

Datenmodell und RLS trugen seit Phase 0 mehrere Wehren. Was fehlte, war
alles darueber: bis hierher war die Personenakte zugleich das Anmeldekonto,
und die gehoert genau einer Wehr. Wer in zweien gefuehrt wurde, brauchte
zwei Passwoerter, und die Anmeldung per E-Mail war mehrdeutig.

Neu sind `Benutzer` (das Konto) und `Mitgliedschaft` (die Zugehoerigkeit).
Das Konto traegt bewusst keine Mandantenkennung und kann keine tragen - es
ist der Angelpunkt, an dem ein Mensch zu mehreren Wehren gehoert. Geschuetzt
wird es deshalb ueber Rechte statt ueber RLS, wie `Berechtigung` seit Phase
0. Was es in einer Wehr darf, entscheidet seine Mitgliedschaft.

Die Sitzung behaelt ihre Form und entsteht nur anders - aus der aktiven
Mitgliedschaft statt aus der Person. Von 414 Fundstellen in 61 Dateien
musste dadurch keine angefasst werden. Die eine Ausnahme ist Absicht:
`personId` ist nullbar geworden, weil eine Aufsichtssitzung keine Akte hat,
und der Typechecker hat daraus genau die fuenf Stellen gemacht, an denen
die Kreisaufsicht nichts verloren hat.

Ihre Rechte werden gefiltert statt aufgezaehlt: alles, was `.lesen` heisst,
minus Kasse, Audit-Log, KI-Protokoll und Personenexport. So bekommt sie
neue Leserechte automatisch und neue Schreibrechte nie.

Die Migration ist datenerhaltend und bricht ab, statt einen halben Zustand
zu hinterlassen.

Nebenbei behoben: `db:test-reset` liess die Nachbarwehr stehen, der
Fehlversuch-Test sperrte das gemeinsame Testkonto, ein Testaufbau war
nicht wiederholbar, und die Wartelogik der Bildschirmfotos konnte
ausloesen, bevor eine Seite ueberhaupt geladen war.

581 Unit-Tests und 266 E2E-Tests gruen.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

scripts/screenshots.ts

@@ -288,6 +288,14 @@ const AUFNAHMEN: Aufnahme[] = [
     beschreibung: "Kassenprüfung mit Differenz und Erläuterung",
     angemeldet: true,
   },
+
+  // Phase 10 — Mandantenfähigkeit
+  {
+    name: "50-wehren",
+    pfad: "/wehren",
+    beschreibung: "Wehren dieser Installation, Konten und ihre Zuordnungen",
+    angemeldet: true,
+  },
 ];
 
 /**
@@ -372,6 +380,18 @@ async function fertigGeladen(seite: Page): Promise<void> {
     .addStyleTag({ content: "nextjs-portal { display: none !important; }" })
     .catch(() => undefined);
 
+  /**
+   * Erst warten, dass React überhaupt gelaufen ist.
+   *
+   * Ohne diese Pause war die Bedingung unten in einem Fall erfüllt, in dem sie
+   * nichts bedeutet: „keine Ladeanzeige“ trifft auch zu, *bevor* sie erscheint.
+   * Bei einer Route, die der Entwicklungsserver erst übersetzen muss, kam der
+   * Auslöser genau in diesem Moment — und das Bild zeigte eine leere Seite mit
+   * Überschriften.
+   */
+  await seite.waitForTimeout(1_500);
+  await seite.waitForLoadState("networkidle");
+
   try {
     await seite.waitForFunction(() => !document.querySelector(".animate-pulse"), undefined, {
       timeout: 15_000,