fix(PROJ-55): Tenant-Isolation für Rolle "auditor" + Audit-Log korrigieren

Kritischer Sicherheitsbug: Auditoren mit zugewiesenem Tenant sahen Mails
und Audit-Log-Einträge anderer Tenants (DSGVO-relevant). auditor wird
jetzt analog zu domain_auditor pro Tenant gescoped, sofern tenant_id
gesetzt ist (Abwärtskompatibilität: ohne tenant_id bleibt der bisherige
globale Zugriff erhalten). Betrifft Mail-Suche, Mail-Detailzugriff,
Export, eDiscovery, Threads, OCR sowie das Audit-Log (DB + tamper-evidentes
Flat-File), inkl. Befüllung von tenant_id an allen Audit-Log-Schreibstellen.

internal/api/dsgvo_handlers.go

@@ -160,6 +160,7 @@ func (s *Server) handleCreateDSGVORequest(w http.ResponseWriter, r *http.Request
 		s.audlog.Log(audit.Entry{
 			EventType: audit.EventDSGVORequest,
 			Username:  sess.Username,
+			TenantID:  sess.TenantID,
 			IPAddress: s.remoteIP(r),
 			Success:   true,
 			Detail: fmt.Sprintf("dsgvo: address=%q hits=%d rejected=%d deletable=%d truncated=%t",
@@ -274,6 +275,7 @@ func (s *Server) handleDeleteDSGVOMails(w http.ResponseWriter, r *http.Request)
 			s.audlog.Log(audit.Entry{
 				EventType: audit.EventDSGVORequest,
 				Username:  sess.Username,
+				TenantID:  sess.TenantID,
 				IPAddress: s.remoteIP(r),
 				MailID:    m.MailID,
 				Success:   true,
@@ -335,6 +337,7 @@ func (s *Server) handleExportDSGVORequest(w http.ResponseWriter, r *http.Request
 		s.audlog.Log(audit.Entry{
 			EventType: audit.EventExport,
 			Username:  sess.Username,
+			TenantID:  sess.TenantID,
 			IPAddress: s.remoteIP(r),
 			Success:   true,
 			Detail:    fmt.Sprintf("dsgvo: export request_id=%d", req.ID),