feat(module-grants): Freigabestufe Verwalten – Datenbank, Zugriffsprüfung und Kantinen-Einstellungen

- Migration: ModuleGrant.level (USE/MANAGE), Bestand bleibt USE
- ModuleAccessService.getModuleAccessLevels als einzige Auflösung, MANAGE gewinnt
- @ModuleManage(slug) am ModuleGuard, GET /modules/active liefert canManage
- Kantinenabrechnung: Einstellungen für Benutzer mit Verwalten, Web-Hook useCanManageModule

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

apps/web/src/app/(portal)/modules/kantine-datev/page.tsx

@@ -15,7 +15,7 @@ import {
   previewKantineCsv,
   saveKantineSettings,
 } from '@/lib/kantine-datev-api';
-import { useAuthStore } from '@/lib/stores/auth-store';
+import { useCanManageModule } from '@/lib/use-module-capability';
 
 type TabId = 'billing' | 'settings';
 
@@ -33,8 +33,8 @@ const euro = new Intl.NumberFormat('de-DE', { style: 'currency', currency: 'EUR'
  */
 export default function KantineDatevPage() {
   const t = useTranslations('kantineDatev');
-  const user = useAuthStore((s) => s.user);
-  const isAdmin = user?.role === 'ADMIN' || user?.role === 'SUPER_ADMIN';
+  // Administratoren und Benutzer mit der Freigabestufe Verwalten (261002-icv).
+  const canManage = useCanManageModule('kantine-datev') === true;
 
   const [tab, setTab] = useState<TabId>('billing');
   const [settings, setSettings] = useState<KantineSettings | null>(null);
@@ -55,8 +55,8 @@ export default function KantineDatevPage() {
   }, []);
 
   const tabs: { id: TabId; label: string }[] = [{ id: 'billing', label: t('tabs.billing') }];
-  if (isAdmin) tabs.push({ id: 'settings', label: t('tabs.settings') });
-  const activeTab = tab === 'settings' && !isAdmin ? 'billing' : tab;
+  if (canManage) tabs.push({ id: 'settings', label: t('tabs.settings') });
+  const activeTab = tab === 'settings' && !canManage ? 'billing' : tab;
 
   return (
     <div className="mx-auto max-w-4xl space-y-6 p-3 sm:p-6">
@@ -67,7 +67,7 @@ export default function KantineDatevPage() {
           <BillingTab
             settings={settings}
             settingsError={settingsError}
-            isAdmin={isAdmin}
+            canManage={canManage}
             onOpenSettings={() => setTab('settings')}
           />
         ) : (
@@ -81,12 +81,12 @@ export default function KantineDatevPage() {
 function BillingTab({
   settings,
   settingsError,
-  isAdmin,
+  canManage,
   onOpenSettings,
 }: {
   settings: KantineSettings | null;
   settingsError: boolean;
-  isAdmin: boolean;
+  canManage: boolean;
   onOpenSettings: () => void;
 }) {
   const t = useTranslations('kantineDatev');
@@ -151,8 +151,8 @@ function BillingTab({
 
       {notConfigured && (
         <div className="space-y-2 rounded-md border border-status-warn/40 bg-status-warn/10 px-4 py-3 text-sm text-foreground">
-          <p>{isAdmin ? t('notConfigured.admin') : t('notConfigured.user')}</p>
-          {isAdmin && (
+          <p>{canManage ? t('notConfigured.admin') : t('notConfigured.user')}</p>
+          {canManage && (
             <button
               type="button"
               onClick={onOpenSettings}