feat: RBAC Phase 2d - Auswertung & Ausgabe auf @RequirePermission umgestellt

Dashboard, Search, Calendar, Statistics, Qr, Export, Documents:
@Roles(...) durch @RequirePermission(...) ersetzt bzw. neu eingefuehrt
(alle diese Controller hatten zuvor gar keine Rollenpruefung -
jeder eingeloggte Nutzer konnte lesen). Documents behaelt STAFF-Zugriff
auf Upload und Loeschen.

Verifiziert: tsc, lint, volle e2e-Suite 158/159 gruen (1 getrackter Skip).

Co-Authored-By: Claude Sonnet 5 <[email protected]>

ApiCore-Backend/src/statistics/statistics.controller.ts

@@ -1,5 +1,6 @@
 import { Controller, Get } from '@nestjs/common';
 import { ApiBearerAuth, ApiTags } from '@nestjs/swagger';
+import { RequirePermission } from '../auth/decorators/require-permission.decorator';
 import { StatisticsService } from './statistics.service';
 
 @ApiTags('statistics')
@@ -8,31 +9,37 @@ import { StatisticsService } from './statistics.service';
 export class StatisticsController {
   constructor(private readonly statisticsService: StatisticsService) {}
 
+  @RequirePermission('statistics:read')
   @Get('colonies')
   colonies() {
     return this.statisticsService.colonies();
   }
 
+  @RequirePermission('statistics:read')
   @Get('queens')
   queens() {
     return this.statisticsService.queens();
   }
 
+  @RequirePermission('statistics:read')
   @Get('apiaries')
   apiaries() {
     return this.statisticsService.apiaries();
   }
 
+  @RequirePermission('statistics:read')
   @Get('varroa')
   varroa() {
     return this.statisticsService.varroa();
   }
 
+  @RequirePermission('statistics:read')
   @Get('honey')
   honey() {
     return this.statisticsService.honey();
   }
 
+  @RequirePermission('statistics:read')
   @Get('feeding')
   feeding() {
     return this.statisticsService.feeding();