feat(selbstauskunft): Mitarbeiter sehen ihre eigenen Geraete (#55)

„Was ist eigentlich mit meinem Notebook passiert?“ musste bisher ein
Techniker nachsehen. Ein Mitarbeiter kann die Arbeiten an **seinen**
Geraeten jetzt selbst ansehen — mit der fuenften Rolle MITARBEITER,
zugeordnet beim Anmelden ueber den UPN.

Was er sieht, sind Titel, Zeitraum und Status. Keine Schritte, keine
Notizen, keine Kommentare, keine Anhaenge: in einem Lauf stehen
Arbeitsnotizen ueber Menschen und Befehle mit Platzhaltern fuer
Zugangsdaten. Eine Selbstauskunft ist keine Akteneinsicht, und das haelt
nicht die Seite fest, sondern das Lesemodell — eine Seite, die filtert,
ist eine Seite, die es vergessen kann.

`selbstauskunft` ist ein **Ersatz** fuer `lesen` und kein Zusatz; auch
ein ADMIN hat es nicht. Ein zweiter Weg zu denselben Daten waere eine
zweite Stelle, an der jemand die Einschraenkung auf die eigene Person
vergisst. Die Datenbank verlangt das sogar: ein CHECK haelt fest, dass
Rolle und Zuordnung zusammengehoeren, in beide Richtungen.

Ein mehrdeutiger UPN wird abgewiesen und protokolliert. Zwei Kunden
koennen dieselbe Person fuehren; ein findFirst entschiede nach
Sortierung darueber, wessen Geraete jemand sieht.

**Verhaltensaenderung:** wer sich anmeldet und in keiner Rollengruppe
steht, bekommt nicht mehr automatisch LESER — also nicht mehr
Lesezugriff auf alle Laeufe des Hauses. Das greift nur mit
konfigurierten OIDC_GROUP_*; ohne sie bleibt alles wie vorher, denn ohne
abgebildete Gruppen laesst sich Techniker nicht von Mitarbeiter
unterscheiden.

Nebenbei behoben: `staerksteRolle` benutzte LESER als Startwert und
damit als Untergrenze — mit einer Rolle darunter lieferte sie mehr
Rechte als uebergeben. Gefunden von einem Test, der seit #007
unveraendert dasteht.

Closes #55

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

docs/devlog.md

@@ -33,12 +33,13 @@ als Unterpunkte mit Aufgabe und Dauer.
 | #032 | M19 – Anhänge und Fotos an Schritten | 3 h 05 min |
 | #033 | M20 – Live-Aktualisierung per SSE statt Polling | 1 h 40 min |
 | #034 | M21 – Benachrichtigungen per Mail und Webhook | 3 h 30 min |
-| | **Summe** | **53 h 35 min** |
+| #035 | M22 – Mitarbeiter-Selbstauskunft | 2 h 50 min |
+| | **Summe** | **56 h 25 min** |
 
 | Meilenstein | Tatsächlich | Status |
 |---|---|---|
 | v0.1.0 | 35 h 20 min | veröffentlicht |
-| v0.2.0 | 18 h 15 min | in Arbeit |
+| v0.2.0 | 21 h 05 min | in Arbeit |
 
 ---
 
@@ -1302,3 +1303,70 @@ und nicht nach jeder einzelnen — das ist der Grund, warum er alles auf einmal
   eigenen Benachrichtigungen abschalten kann.
 - **M15 (#028)** Graph-Quelle und **M16 (#029)** SCIM sind die beiden großen verbliebenen.
 - Weiter offen und nicht von hier aus machbar: **#024** Proxmox-Einzeiler auf einem echten PVE-Host.
+
+---
+
+## 2026-10-06 · Sitzung 20 · 06:00–08:50
+
+**Issue:** #035 (M22)
+**Version:** 0.2.0 (unveröffentlicht)
+
+### Erledigt
+
+- **Die fünfte Rolle `MITARBEITER`** mit genau einem Recht: `selbstauskunft`. Zugeordnet beim
+  Anmelden über den UPN, festgehalten in `Benutzer.mitarbeiterId`.
+- **`/meine-geraete`**: meine Geräte, je Gerät die Arbeiten chronologisch, dazu meine Stammdaten aus
+  dem Verzeichnis. Titel, Zeitraum, Status — nichts weiter.
+- **Drei PRs von gestern sind auf `main`** (#59, #60, #61); die beiden Folgezweige mussten nach dem
+  ersten Squash rebased werden.
+- 1341 Vitest-Tests (vorher 1302), davon 25 neue. Im gebauten Stand mit einem echten
+  MITARBEITER-Konto durchgeklickt.
+
+### Entscheidungen
+
+- **`selbstauskunft` ist ein Ersatz für `lesen`, kein Zusatz** — deshalb hat auch ein ADMIN es
+  nicht. Ein zweiter Weg zu denselben Daten wäre eine zweite Stelle, an der jemand die
+  Einschränkung auf die eigene Person vergisst.
+- **Was zurückkommt, entscheidet das Lesemodell und nicht die Seite.** Eine Seite, die filtert, ist
+  eine Seite, die es vergessen kann.
+- **Kein zusammengesetzter Fremdschlüssel**, obwohl die Aufgabe ihn verlangte: ein `Benutzer` trägt
+  keine `kundeId`. Stattdessen ein CHECK, dass Rolle und Zuordnung zusammengehören, und ein
+  eindeutiger Index, dass eine Person höchstens ein Konto hat.
+- **Ein mehrdeutiger UPN wird abgewiesen**, nicht geraten. Zwei Kunden können dieselbe Person
+  führen; ein `findFirst` entschiede nach Sortierung darüber, wessen Geräte jemand sieht.
+- **Die Weiche greift nur mit konfigurierten Rollengruppen.** Ein Update, das jeden aussperrt, dem
+  die Gruppen fehlen, wäre ein kaputtes Update.
+- **Nicht `/kein-zugriff` bei gescheiterter Anmeldung**, wie das Issue vorsah: diese Seite verlangt
+  eine Sitzung, die es dann nicht gibt — das wäre eine Schleife. Die Begründung steht auf der
+  Anmeldeseite, mit zwei eigenen Codes.
+
+### Probleme
+
+- **Eine Gegenprobe blieb grün, und das war der eigentliche Befund.** Der Test „sieht keine Notizen“
+  prüft die Antwort, und die ist durch `laufBauen` sicher. Als ich im `select` versuchsweise
+  `ergebnisse: { notiz }` ergänzte, blieb er deshalb grün — während der Kopfkommentar behauptet, das
+  `select` hole es „gar nicht erst“. **Eine Zusage ohne eigenen Test ist keine Zusage**, auch wenn
+  ein Nachbartest sie zufällig mitträgt. Jetzt liest ein Test die Datei selbst.
+- **Ein Test von #007 fand eine echte Lücke.** `staerksteRolle` benutzte `LESER` als Startwert und
+  damit als Untergrenze; mit einer Rolle darunter lieferte sie **mehr** Rechte als übergeben. Drei
+  Jahre Projektzeit hätte das niemand gemerkt, weil es keine Rolle unter `LESER` gab.
+- **Zwei Bedienfehler beim Durchklicken**, beide dieselbe Ursache: das Standardziel nach der
+  Anmeldung ist `/`, und die Übersicht verlangt `lesen`. Ein Mitarbeiter sah als Erstes „Dafür fehlt
+  dir die Berechtigung“ — und der Knopf dort führte zurück auf `/`, also im Kreis. Ohne Klickprobe
+  wäre das bis zum ersten echten Nutzer unentdeckt geblieben: **alle Tests waren grün.**
+- **Die Navigation hätte sechs tote Links angeboten.** `recht` stand nur am Admin-Bereich, weil
+  bisher jede Rolle `lesen` durfte.
+- **Ein falscher Satz in `docs/betrieb/authentik.md`:** „Ist der Benutzer in keiner der vier
+  Gruppen, bekommt er `LESER`.“ Richtig war er bis zu dieser Sitzung.
+- **Drei eigene Testfehler**, keine Produktfehler: Tag-Codes müssen dem Alphabet ohne `0`, `1`, `I`
+  und `O` folgen; die Kundenbindungstests gaben nur eine Kundengruppe mit und hingen damit an der
+  neuen Weiche; und ein Einfüge-Skript meldete „ok“, ohne geschrieben zu haben — seitdem prüfe ich
+  nach dem Einfügen mit `grep`.
+
+### Nächster Schritt
+
+- **Phase 2 ist bis auf die beiden großen Verzeichnis-Themen fertig:** **M15 (#028)**
+  Microsoft-Graph-Quelle und **M16 (#029)** SCIM-Endpunkt.
+- Vor beiden wäre ein unabhängiger Review über die sechs Meilensteine dieser Phase angebracht —
+  M17 bis M22 liegen ohne fremden Blick auf `main`.
+- Weiter offen und nicht von hier aus machbar: **#024** Proxmox-Einzeiler auf einem echten PVE-Host.