feat(260805-d0r): getUserAccess returns groups from GroupMembership (D-16)

- New groupMembership.findMany query, tenant-scoped via group.tenantId
  (GroupMembership has no own tenantId column)
- Response shape changes from an array to { groups, modules }; modules
  entries stay field-identical to before
- Group without any module grant now stays visible, closing the
  reproduced defect

apps/api/src/groups/module-grants.controller.ts

@@ -52,8 +52,11 @@ export class ModuleGrantsController {
 
   /**
    * GET /module-grants/users/:userId
-   * Je aktivem Modul: über welche Gruppen der Benutzer erbt, und ob ein
-   * Direkt-Grant besteht (D-16).
+   * Liefert { groups, modules } (D-16). `groups` sind die tatsächlichen
+   * Gruppenmitgliedschaften des Benutzers (aus GroupMembership, unabhängig
+   * von Modul-Freigaben). `modules` ist je aktivem Modul, über welche
+   * Gruppen der Benutzer das Modul erbt, und ob zusätzlich ein
+   * Direkt-Grant besteht.
    */
   @Get('users/:userId')
   @UseGuards(RolesGuard)