fix: admin bekommt Fachebene-Rechte (Posteingang, Entscheiden, Register, Wiedervorlage)

Löst einen Blocker im Kernablauf: eine frisch registrierte Firma hat
nur einen admin-Login und konnte damit bislang keinen einzigen
eingereichten Antrag sehen oder entscheiden, weil requireFachebene nur
verantwortlicher/pruefer durchließ. Die Spezifikation will admin+
KI-Verantwortlicher ohnehin auf derselben Person (siehe CLAUDE.md,
Offene Punkte) — statt eines Datenmodell-Umbaus (roles-Array oder
zwei app_user-Zeilen pro Person) bekommt admin jetzt pragmatisch
dieselben Fachebene-Rechte wie verantwortlicher (hatEntscheidungsrecht
in fachebene_handlers.go). pruefer bleibt unverändert nur lesend.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

internal/web/fachebene_handlers.go

@@ -78,6 +78,13 @@ type fallDetailData struct {
 	Error            string
 }
 
+// hatEntscheidungsrecht — "admin" ist bewusst mit eingeschlossen, siehe
+// requireFachebene: die Spezifikation will admin+verantwortlicher auf
+// derselben Person, ohne dass app_user.role zwei Werte tragen kann.
+func hatEntscheidungsrecht(role string) bool {
+	return role == "verantwortlicher" || role == "admin"
+}
+
 // vorschlagFuer leitet aus einer Bewertung ab, welche Entscheidung das
 // System vorschlagen würde — nicht gespeichert, nur zur Bestimmung, ob
 // eine tatsächliche Entscheidung davon abweicht (dann ist die
@@ -115,7 +122,7 @@ func (s *Server) handleFallDetail(w http.ResponseWriter, r *http.Request) {
 			data.WerkzeugOptionen = append(data.WerkzeugOptionen, werkzeugOption{ID: id, Name: s.werkzeugName(r.Context(), id)})
 		}
 	}
-	data.CanEntscheiden = currentUser(r).Role == "verantwortlicher" && antrag.Status == "eingereicht" && data.Bewertung != nil
+	data.CanEntscheiden = hatEntscheidungsrecht(currentUser(r).Role) && antrag.Status == "eingereicht" && data.Bewertung != nil
 
 	entscheidung, err := s.store.GetLatestEntscheidungForAntrag(r.Context(), antrag.ID)
 	if err == nil {
@@ -147,13 +154,14 @@ func gueltigkeitFuer(einstufung string) time.Time {
 }
 
 // handleFallEntscheiden speichert die Entscheidung eines/einer
-// Verantwortlichen. Prüfer haben dieselbe Sicht, aber kein
-// Entscheidungsrecht — anders als bei requireFachebene (404, weil die
-// Seite für sie gar nicht existieren soll) ist das hier ein 403: ein
-// Prüfer darf wissen, dass der Fall existiert, nur nicht entscheiden.
+// Verantwortlichen (oder admin, siehe hatEntscheidungsrecht). Prüfer
+// haben dieselbe Sicht, aber kein Entscheidungsrecht — anders als bei
+// requireFachebene (404, weil die Seite für sie gar nicht existieren
+// soll) ist das hier ein 403: ein Prüfer darf wissen, dass der Fall
+// existiert, nur nicht entscheiden.
 func (s *Server) handleFallEntscheiden(w http.ResponseWriter, r *http.Request) {
 	user := currentUser(r)
-	if user.Role != "verantwortlicher" {
+	if !hatEntscheidungsrecht(user.Role) {
 		http.Error(w, "kein Entscheidungsrecht", http.StatusForbidden)
 		return
 	}