feat: Reseller-Rolle + SUPER_ADMIN-Mandantenübersicht

Mandantenfähigkeit ausgebaut:
- Neue Rolle RESELLER (company_id NULL); companies.reseller_id + is_active
- RLS-Erweiterung (Migration 0034): companies/users zusätzlich auf app.reseller_id
  gefenced → Reseller sieht/verwaltet DB-seitig nur eigene Firmen, keine
  personenbezogenen Zeit-/Abwesenheitsdaten (DSGVO: nur Verwaltung)
- get_current_user setzt app.reseller_id + Bypass aus für RESELLER
- tenant_service: Firma + Erst-Admin (Einladung), Übersicht mit Kennzahlen
- Router /reseller/* (Self-Service) und /admin/* (SUPER_ADMIN: Mandanten + Reseller)
- Login-Sperre bei deaktiviertem Mandanten
- Frontend: TenantsPage (/admin/tenants), eigene ResellerCompaniesPage (/reseller),
  rollenbasierte Login-Weiterleitung, Nav "Mandanten" für SUPER_ADMIN
- 4 neue Tests inkl. Cross-Reseller-RLS-Isolation; 172/172 grün

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

backend/app/services/auth_service.py

@@ -144,6 +144,13 @@ class AuthService:
             if not user.is_active:
                 raise HTTPException(status_code=403, detail="Account is deactivated")
 
+            # Mandanten-Sperre: deaktivierte Firma → kein Login (Reseller/SUPER_ADMIN
+            # haben company_id IS NULL und sind davon nicht betroffen).
+            if user.company_id is not None:
+                company = await db.get(Company, user.company_id)
+                if company is not None and not company.is_active:
+                    raise HTTPException(status_code=403, detail="Dieser Mandant ist deaktiviert.")
+
             auth_ok = False
             if user.auth_provider == AuthProvider.LDAP:
                 ldap_cfg = await ldap_service.get_config(user.company_id, db)