fix(users): DSGVO-/Entwickler-Zugriff über User-Update durchreichen

`pickUserUpdate`-Whitelist enthielt `hasGdprAccess` und `hasDeveloperAccess`
nicht – sie wurden vom Mass-Assignment-Schutz aus dem Request entfernt,
bevor sie den Service erreichen konnten. Damit lief `setUserGdprAccess` /
`setUserDeveloperAccess` nie und die zwei versteckten Rollen blieben
unzuweisbar (UI-Checkbox hatte keine Wirkung).

Fix: Beide Felder zur Whitelist hinzugefügt – sie sind keine User-Spalten,
der Service mappt sie auf die DSGVO-/Developer-Rollen.

Bonus: Audit-Log-Diff vergleicht jetzt den Pre-State korrekt (User-Rollen
in `before` mitgeladen + Field-Labels), sonst hätte der jetzt durchkommende
Flag immer einen False-Positive-Change "- → Ja" produziert.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

backend/src/utils/sanitize.ts

@@ -110,6 +110,12 @@ const USER_UPDATABLE_FIELDS = [
   'signalNumber',
   'roleIds',
   'password', // nur Admin, wird im Service gehashed
+  // hasGdprAccess + hasDeveloperAccess sind keine User-Spalten – der Service
+  // mappt sie auf die versteckten Rollen DSGVO/Developer (siehe
+  // setUserGdprAccess / setUserDeveloperAccess). Müssen aber auf der Whitelist
+  // stehen, damit pick() sie nicht aus dem Request entfernt.
+  'hasGdprAccess',
+  'hasDeveloperAccess',
   // Nicht: id, customerId, tokenInvalidatedAt, passwordResetToken, passwordResetExpiresAt
 ] as const;