M3 Mandant-Einstellungen und Rollencheck ergänzen

- zentrale Owner/Admin-Rollenpruefung in SaaS-Auth ergaenzen
- Mandant-Einstellungen fuer Preise, PayPal und Basisdaten bauen
- Settings-Flow-Test, Navigation und M3-Dokumentation aktualisieren

docs/m3-saas-basis-vorbereitung.md

@@ -47,6 +47,7 @@ Ergaenzende Skripte:
 scripts/backfill-default-tenant.php
 scripts/check-m3-saas-basis.php
 scripts/check-m3-auth-flow.php
+scripts/check-m3-settings-flow.php
 ```
 
 Wichtige Regeln:
@@ -136,8 +137,27 @@ Noch offen im M3-Auth-Scope:
 - Passwort-Reset.
 - E-Mail-Verifikation.
 - Tenant-Aufloesung ueber Subdomain oder Custom Domain.
-- Zentrale Rollenpruefung fuer neue SaaS-Seiten.
-- Owner-/Admin-Seite fuer Tenant-Grundeinstellungen.
+- Weitergehende Rollenmatrix fuer spaetere SaaS-Seiten.
+
+## Rollen und Grundeinstellungen
+
+Umgesetzte Dateien:
+
+```text
+mandant-einstellungen.php
+```
+
+Umgesetzter Umfang:
+
+- `saas_user_has_role()`, `saas_require_role()` und
+  `saas_can_manage_tenant_settings()` zentralisieren die erste Rollenpruefung.
+- Owner und Admin duerfen Tenant-Grundeinstellungen bearbeiten.
+- Die Seite bearbeitet Kundenname, Zeitzone, Locale, Waehrung, Preis pro
+  Strich, Web-Striche, PayPal-Link, Listenfenster und Schulden-Warnschwelle.
+- Geldwerte werden in der UI als Euro-Werte erfasst und weiterhin als Cent-
+  Integer gespeichert.
+- `konto.php` und die Sidebar verlinken die Einstellungen nur fuer passende
+  Rollen.
 
 ## Erste Akzeptanzkriterien
 
@@ -150,6 +170,7 @@ Noch offen im M3-Auth-Scope:
 - Admins werden als tenant-scoped Rolle abgebildet: erfuellt.
 - Registrierung und Login funktionieren fuer einen neuen Test-Tenant:
   erfuellt.
+- Owner-/Admin-Grundeinstellungen koennen aktualisiert werden: erfuellt.
 - Golden-Master und HTTP-Smoke bleiben gruen: erfuellt.
 
 ## Risiken
@@ -171,6 +192,8 @@ Noch offen im M3-Auth-Scope:
 5. Kontrollskript fuer Tenant/Participant/Role-Counts schreiben: erledigt.
 6. Login-/Registrierungsrouten bauen: erledigt.
 7. Auth-Flow-Kontrollskript schreiben: erledigt.
-8. Golden-Master und HTTP-Smoke ausfuehren: erledigt.
-9. Passwort-Reset, E-Mail-Verifikation und zentrale Rollenpruefung planen:
+8. Zentrale Rollenpruefung und Mandant-Einstellungen bauen: erledigt.
+9. Settings-Flow-Kontrollskript schreiben: erledigt.
+10. Golden-Master und HTTP-Smoke ausfuehren: erledigt.
+11. Passwort-Reset, E-Mail-Verifikation und Tenant-Aufloesung planen:
    naechster Schritt.