feat(2a): Erlaubte Sprachen pro Nutzer (Admin-Vorgabe)

Der Admin schaltet pro Nutzer Sprachen frei (Toggle-Chips in der
Nutzerverwaltung). Die Haupt-App zeigt dann nur diese Sprachen; bei genau
einer erlaubten Sprache wird das Sprachmenü ausgeblendet (kein Stress).

- admin.py: PUT /admin/users/{id}/prefs (allowed_languages), list_users
  liefert allowed_languages mit.
- dependencies.py: resolve_route klemmt die Sprache auf eine erlaubte
  (Backend-Durchsetzung, nicht nur UI).
- app.js: applyAllowedLanguages (Haupt-UI-Filter) + Sprach-Chips je Nutzer
  im Admin. app.js v=44.
- Tests: Klemmung + Admin-Endpunkt. 213 passed.

Login-/nginx-Umbau (Ein-Klick-Link) folgt nach separater Design-Abstimmung.

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

tests/test_routing.py

@@ -139,3 +139,20 @@ def test_route_has_no_language_mode():
     route = resolve_route()
     assert "language_mode" not in route.as_dict()
     assert not hasattr(route, "language_mode")
+
+
+def test_route_clamps_language_to_allowed():
+    store = get_store()
+    user, _ = store.create_user("Senior")
+    store.set_user_prefs(user.id, {"allowed_languages": "en,fr", "language": "de"})
+    user = store.get_user(user.id)
+    # de ist nicht erlaubt -> auf erste erlaubte Sprache (en) geklemmt
+    assert resolve_route(user).language == "en"
+
+
+def test_route_keeps_allowed_language():
+    store = get_store()
+    user, _ = store.create_user("Senior2")
+    store.set_user_prefs(user.id, {"allowed_languages": "en,fr", "language": "fr"})
+    user = store.get_user(user.id)
+    assert resolve_route(user).language == "fr"