Unit-Tests (retentionclient, legalhold) belegen: CheckLegalHold sendet
den per-call uebergebenen Tenant statt c.Tenant, ein leerer Tenant
loest keinen HTTP-Aufruf aus, ein 403 wird als ErrForbidden/
ErrTenantRejected unterscheidbar. Neue Integrationstests (echtes
Postgres) in mail/internal/trash/tenant_isolation_test.go decken
Pruefung 1-3 des Tickets ab: korrekter Tenant liefert erwartete Daten,
manipulierter Tenant wird abgelehnt und im Audit-Log als
tenant_mismatch vermerkt, zwei Mandanten bleiben in einem
PurgeExpired-Lauf isoliert. Bestehende Tests (allow/deny-Helfer,
TestArchiveContract_*) auf die neue Signatur angepasst.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>