feat(controls): Mandanten-Suppression — per-tenant Applicability-Override

Geteilte Schicht für alle Surfaces (Workspace-Anwälte, Cyber-Risiko-Projekt,
Admin): ein Mandant markiert ein Control als "nicht anwendbar" → in seinen
Use-Case-Ansichten (und künftig Repo-Scans) ausgeblendet.

- Migration 156: compliance.control_suppressions (PK tenant_id+control_uuid),
  reversibel (active + reverted_*), auditierbar (actor/reason/created_at).
  [migration-approved]
- Service control_suppression: suppress/revert/list_suppressions +
  suppressed_control_uuids (geteilter Filter).
- Routes: GET/POST /v1/controls/suppressions + POST .../{uuid}/revert (X-Tenant-ID).
- controls_for_use_case: optionaler X-Tenant-ID + include_suppressed; suppressed
  per Default versteckt (nie gelöscht), suppressed_count, suppressed-Flag pro
  Control. Agenten/CRA ohne Tenant unberührt.
- Tests: Request-Validierung + import-safety (E2E-Zyklus gegen macmini bewiesen).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

backend-compliance/compliance/api/use_case_controls_routes.py

@@ -11,7 +11,7 @@ from __future__ import annotations
 
 from typing import Any, Optional
 
-from fastapi import APIRouter, Depends, Query
+from fastapi import APIRouter, Depends, Header, Query
 from sqlalchemy.orm import Session
 
 from classroom_engine.database import get_db
@@ -62,14 +62,20 @@ async def controls_for_use_case(
         description="atom-grain: out-of-scope-Adressaten (Aufsichtsbefugnis/"
         "Mitgliedstaat/Dritter/meta) einblenden (Default: advisory ausgeblendet)",
     ),
+    include_suppressed: bool = Query(
+        False,
+        description="atom-grain: vom Mandanten als unanwendbar markierte Controls "
+        "einblenden (Default: ausgeblendet)",
+    ),
+    x_tenant_id: Optional[str] = Header(None, alias="X-Tenant-ID"),
     limit: int = Query(50, ge=1, le=200),
     offset: int = Query(0, ge=0),
     svc: UseCaseControlsService = Depends(get_use_case_controls_service),
 ) -> dict[str, Any]:
     """Controls for a topic. Atom-grain (Haiku: relevant + sub_topic) wenn vorhanden,
-    sonst master-grain Seed."""
+    sonst master-grain Seed. Mandanten-Suppression greift nur mit X-Tenant-ID."""
     with translate_domain_errors():
         return svc.controls_for_use_case(
             use_case, primary_only, limit, offset, sub_topic, tier,
-            include_out_of_scope,
+            include_out_of_scope, x_tenant_id, include_suppressed,
         )