feat(quick-260910-krx): Anordnung und Widgets an forTenant() gebunden

Aufgabe 2 — TDD zuerst (20 Faelle in dashboard.service.spec.ts, 8 vorher/12
neu, Zwei-Klienten-Nachweis ueber __makeBoundClient nach dem Muster von
module-access.service.spec.ts), dann die Umstellung:

- getLayout/saveLayout laufen GEMEINSAM gebunden (ein Testfall nagelt das
  fest); saveLayout uebersetzt eine gebundene Konflikt-Schreibung
  (PrismaClientUnknownRequestError, gemessen in Aufgabe 1 — NICHT P2002)
  in eine deutsche ConflictException.
- getWidgets/addWidget/updateWidgetConfig/removeWidget laufen gebunden;
  die drei Besitzpruefungen ueber die Benutzerkennung bleiben unveraendert
  bestehen (die Regeln dieses Bereichs kennen keine Benutzerdimension).
  updateWidgetConfig/removeWidget fuehren Besitzpruefung UND Schreibzugriff
  ueber DENSELBEN gebundenen Klienten.
- dashboard.controller.ts reicht den bereits aufgeloesten Mandanten bei
  getLayout/updateWidgetConfig/removeWidget durch (keine neue
  Vertrauensquelle, weiterhin aus extractContext/Sitzungsnachweis).
- Der Modulkatalog und die vier Suchmaschinenzugriffe bleiben in dieser
  Aufgabe unveraendert (Aufgabe 3).
- Falsifizierungsnachweis durchgefuehrt: tenantPrisma.widgetInstance.delete
  probeweise auf this.prisma zurueckgebaut — Test "Widget entfernen: ebenso,
  beide Abfragen ueber denselben Klienten" wird rot mit "erwarteter
  gebundener Aufruf widgetInstance.delete(tenant=tenant-1) fehlt im
  Protokoll"; Rueckbau zurueckgenommen, Testlauf wieder gruen (20/20).

Zwei dokumentierte Abweichungen (Rule 3): (1) Befund A hatte fuer
widgetInstance sieben Treffer vorhergesagt, gemessen sind sechs (macht
zusammen mit dashboardLayout acht statt neun) — der Verify-Schwellwert
wird entsprechend auf >=8 gelesen. (2) Die Stand-Spalte fuer
dashboardLayout/widgetInstance in der Klassifikationsdatei wird bereits
hier minimal nachgezogen (nicht erst in Aufgabe 3), weil
rls-access-inventory.spec.ts sonst am Ende dieser Aufgabe rot waere —
derselbe Praezedenzfall wie 260910-exd, Aufgabe 2.

Baseline gehalten: 851 Tests / 56 Dateien gruen (839 + 12 neue), Typpruefung
sauber, Wegwerf-Werkzeug 87/87.

apps/api/src/dashboard/dashboard.controller.ts

@@ -56,8 +56,8 @@ export class DashboardController {
 
   @Get('layout')
   async getLayout(@Req() req: Request) {
-    const { userId } = this.extractContext(req);
-    return this.dashboardService.getLayout(userId);
+    const { userId, tenantId } = this.extractContext(req);
+    return this.dashboardService.getLayout(userId, tenantId);
   }
 
   @Put('layout')
@@ -85,8 +85,8 @@ export class DashboardController {
     @Req() req: Request,
     @Body() dto: UpdateWidgetConfigDto,
   ) {
-    const { userId } = this.extractContext(req);
-    return this.dashboardService.updateWidgetConfig(id, userId, dto);
+    const { userId, tenantId } = this.extractContext(req);
+    return this.dashboardService.updateWidgetConfig(id, userId, tenantId, dto);
   }
 
   @Delete('widgets/:id')
@@ -94,8 +94,8 @@ export class DashboardController {
     @Param('id') id: string,
     @Req() req: Request,
   ) {
-    const { userId } = this.extractContext(req);
-    return this.dashboardService.removeWidget(id, userId);
+    const { userId, tenantId } = this.extractContext(req);
+    return this.dashboardService.removeWidget(id, userId, tenantId);
   }
 
   // --- Search Providers (05-02, D-15) ---