feat: Reseller-Rolle + SUPER_ADMIN-Mandantenübersicht

Mandantenfähigkeit ausgebaut:
- Neue Rolle RESELLER (company_id NULL); companies.reseller_id + is_active
- RLS-Erweiterung (Migration 0034): companies/users zusätzlich auf app.reseller_id
  gefenced → Reseller sieht/verwaltet DB-seitig nur eigene Firmen, keine
  personenbezogenen Zeit-/Abwesenheitsdaten (DSGVO: nur Verwaltung)
- get_current_user setzt app.reseller_id + Bypass aus für RESELLER
- tenant_service: Firma + Erst-Admin (Einladung), Übersicht mit Kennzahlen
- Router /reseller/* (Self-Service) und /admin/* (SUPER_ADMIN: Mandanten + Reseller)
- Login-Sperre bei deaktiviertem Mandanten
- Frontend: TenantsPage (/admin/tenants), eigene ResellerCompaniesPage (/reseller),
  rollenbasierte Login-Weiterleitung, Nav "Mandanten" für SUPER_ADMIN
- 4 neue Tests inkl. Cross-Reseller-RLS-Isolation; 172/172 grün

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

frontend/src/App.tsx

@@ -30,6 +30,8 @@ import { MobilePage } from './pages/mobile/MobilePage'
 import { MobileLoginPage } from './pages/mobile/MobileLoginPage'
 import { SpecialAssignmentsPage } from './pages/SpecialAssignmentsPage'
 import { HoursPayoutPage } from './pages/HoursPayoutPage'
+import { TenantsPage } from './pages/TenantsPage'
+import { ResellerCompaniesPage } from './pages/ResellerCompaniesPage'
 
 export default function App() {
   return (
@@ -65,6 +67,8 @@ export default function App() {
             <Route path='/settings/audit-log'      element={<AuditLogPage />} />
             <Route path='/hr/special-assignments'  element={<SpecialAssignmentsPage />} />
             <Route path='/hr/payouts'              element={<HoursPayoutPage />} />
+            <Route path='/admin/tenants'           element={<TenantsPage />} />
+            <Route path='/reseller'                element={<ResellerCompaniesPage />} />
             <Route path='/profile'                 element={<ProfilePage />} />
           </Route>
           <Route path='*' element={<Navigate to='/login' replace />} />