M5: Hinweise auf tenant-scoped Notices umziehen, Mitgliederzugang auf Rollen umstellen

Hinweise:
- Neue Tabelle notices (tenant-scoped, Soft-Delete via deleted_at) loest
  die global unscoped kl_hinweise als aktive Datenquelle ab; Migration
  uebernimmt einmalig aktuell gueltige kl_hinweise-Eintraege fuer den
  Default-Mandanten. kl_hinweise bleibt als Golden-Master-Referenz stehen.
- hinweise.php und der Banner in header.php sind tenant-scoped umgestellt.

Mitgliederverwaltung:
- mitarbeiterverwalten.php verwaltet jetzt participants (tenant-scoped)
  statt der global unscoped kl_Mitarbeiter-Tabelle als primaere Quelle.
  Das behebt nebenbei ein Mandanten-Datenleck: jeder SaaS-Mandant mit
  Owner/Admin-Rolle haette zuvor die komplette Default-Mandanten-
  Mitgliederliste sehen und bearbeiten koennen.
- Fuer den Default-Mandanten bleibt Dual-Write nach kl_Mitarbeiter
  bestehen, damit stricheintragen.php/einzahlung.php weiter funktionieren;
  andere Mandanten werden rein participant-nativ verwaltet.
- Die Legacy-Administrator-Checkbox ist raus. Stattdessen kann ein Admin
  je Mitglied unabhaengig von Name/E-Mail einen Login-Zugang mit Rolle
  (member/treasurer/admin) gewaehren oder entziehen
  (saas_grant_participant_access / saas_revoke_participant_access).
  Einladung laeuft ueber den bestehenden Passwort-Reset-Mechanismus,
  Entzug setzt die Mitgliedschaft auf revoked statt sie zu loeschen.
- Kompletter Flow live getestet: anlegen, Zugang gewaehren, Einladungsmail,
  Passwort setzen, Login, Rollenschutz, Zugang entziehen, Login-Sperre.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

app/saas-mail.php

@@ -131,6 +131,26 @@ function saas_send_password_reset_mail(string $to, string $token): array
     return saas_send_mail($to, 'Kaffeeliste Passwort zurücksetzen', $body);
 }
 
+function saas_send_invite_mail(string $to, string $tenantName, string $role, string $token): array
+{
+    $link = saas_app_url('passwort-zuruecksetzen.php?token=' . urlencode($token));
+    $body = implode("\n", [
+        'Hallo,',
+        '',
+        "du wurdest für \"{$tenantName}\" in der Kaffeeliste als {$role} eingeladen.",
+        'Öffne diesen Link, um ein Passwort zu setzen und dich anzumelden:',
+        '',
+        $link,
+        '',
+        'Der Link ist zeitlich begrenzt und kann nur einmal verwendet werden.',
+        'Falls du diese Einladung nicht erwartet hast, kannst du diese Nachricht ignorieren.',
+        '',
+        'Deine Kaffeeliste',
+    ]);
+
+    return saas_send_mail($to, 'Einladung zur Kaffeeliste', $body);
+}
+
 function saas_send_email_verification_mail(string $to, string $token): array
 {
     $link = saas_app_url('email-verifizieren.php?token=' . urlencode($token));