feat(module-grants): Freigabestufe Verwalten – Datenbank, Zugriffsprüfung und Kantinen-Einstellungen

- Migration: ModuleGrant.level (USE/MANAGE), Bestand bleibt USE
- ModuleAccessService.getModuleAccessLevels als einzige Auflösung, MANAGE gewinnt
- @ModuleManage(slug) am ModuleGuard, GET /modules/active liefert canManage
- Kantinenabrechnung: Einstellungen für Benutzer mit Verwalten, Web-Hook useCanManageModule

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

apps/web/src/lib/api.ts

@@ -19,6 +19,8 @@ export interface ApiModule {
   icon?: string;
   version: string;
   isSystem: boolean;
+  /** Freigabestufe Verwalten (261002-icv) — nur Anzeige, bindend bleibt die API. */
+  canManage?: boolean;
 }
 
 /**