feat(overtime): Auszahlungs-Anträge durch Mitarbeiter (opt-in pro Firma)

Mitarbeiter beantragt Überstunden-Auszahlung, HR genehmigt/lehnt ab.
Firmen-Opt-in payout_request_enabled (Default aus - nur HR-Direktbuchung).
Saldo-Abzug erst bei Genehmigung; Reject/Cancel bucht nichts.

- Migration 0042: hours_payouts.status/decided_by/decided_at/rejection_reason
  + companies.payout_request_enabled (nur Spalten, RLS unveraendert)
- Router: POST /hr/payouts/request|{id}/approve|reject|cancel; list status-Filter;
  HR-Direktbuchung bleibt (status approved)
- Frontend: PayoutRequestCard (Selbstbedienung in AbsencesPage), HR-Page
  Status-Spalte + Genehmigen/Ablehnen, CompanySettings-Toggle
- 4 pytest-Cases

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

backend/app/models/hours_payout.py

@@ -1,10 +1,11 @@
 """Stunden-Auszahlung: HR/Admin weist Überstunden-Stunden zur Lohn-Auszahlung an."""
+import enum
 import uuid
 from datetime import datetime
 from decimal import Decimal
 from typing import TYPE_CHECKING
 
-from sqlalchemy import DateTime, ForeignKey, Integer, Numeric, Text, func
+from sqlalchemy import DateTime, ForeignKey, Integer, Numeric, String, Text, func
 from sqlalchemy.dialects.postgresql import UUID
 from sqlalchemy.orm import Mapped, mapped_column, relationship
 
@@ -15,6 +16,13 @@ if TYPE_CHECKING:
     from app.models.company import Company
 
 
+class PayoutStatus(str, enum.Enum):
+    REQUESTED = "requested"   # Mitarbeiter hat beantragt, wartet auf HR
+    APPROVED = "approved"     # genehmigt / HR-Direktbuchung – Saldo abgezogen
+    REJECTED = "rejected"     # HR hat abgelehnt
+    CANCELLED = "cancelled"   # Antragsteller hat zurückgezogen (nur requested)
+
+
 class HoursPayout(Base):
     """Ein Auszahlungsvorgang für Überstunden-Stunden."""
     __tablename__ = "hours_payouts"
@@ -32,14 +40,21 @@ class HoursPayout(Base):
     period_year: Mapped[int | None] = mapped_column(Integer)               # Abrechnungsmonat Jahr
     period_month: Mapped[int | None] = mapped_column(Integer)              # Abrechnungsmonat Monat
     note: Mapped[str | None] = mapped_column(Text)                         # Notiz für Buchhaltung
+    status: Mapped[str] = mapped_column(String(12), nullable=False, default=PayoutStatus.APPROVED.value)
+    rejection_reason: Mapped[str | None] = mapped_column(Text)
     created_by: Mapped[uuid.UUID] = mapped_column(
         UUID(as_uuid=True), ForeignKey("users.id", ondelete="SET NULL"),
         nullable=False
     )
+    decided_by: Mapped[uuid.UUID | None] = mapped_column(
+        UUID(as_uuid=True), ForeignKey("users.id", ondelete="SET NULL")
+    )
+    decided_at: Mapped[datetime | None] = mapped_column(DateTime(timezone=True))
     created_at: Mapped[datetime] = mapped_column(
         DateTime(timezone=True), server_default=func.now(), index=True
     )
 
     user: Mapped["User"] = relationship("User", foreign_keys=[user_id], lazy="noload")
     creator: Mapped["User"] = relationship("User", foreign_keys=[created_by], lazy="noload")
+    decider: Mapped["User"] = relationship("User", foreign_keys=[decided_by], lazy="noload")
     company: Mapped["Company"] = relationship("Company", lazy="noload")