Freigabe durch die Leitung innerhalb von Grenzen (#687)

- UnitConfig.Approvals: Operationen, Hoechstzahl je Tag, Stunden je Freigabe; nur der
  Mensch setzt sie (OrgAdministration.SetApprovals mit Audit, Teilmengenregel nach oben,
  Senken oben senkt unten mit; Agentenaenderungen/Sonderbudget nie freigebbar)
- LeadApprovals: Vorlage geht an die naechste Leitung, deren Einheit die Operation
  erlaubt; nie eigene Aufrufe, nie eine Leitung mit Fremdinhalt, Tagesdeckel, Frist.
  Entscheidung ueber Escalation approve_call/reject_call, im Audit als lead:<id>
- Der Mensch sieht alles und kann zuerst entscheiden; danach wird die Leitungsaufgabe
  geschlossen. Nach der Frist nur noch der Mensch.
- StagedCalls: Approver, ApproverUntil, ApproverTaskId (Nachruestung)
- WebUI: Hinweis "bei Leitung" in der Freigabestelle, Zaehler ohne diese, Quote je
  Leitung; Karte in der Organisationsansicht; i18n en/de
- Tests: LeadApprovalsTests (13), OrgAdministrationTests (+2)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

src/ClawdDotNet.App/AppHost.cs

@@ -642,7 +642,7 @@ public sealed class AppHost : IAsyncDisposable
 
         var (scanner, staging, board) = BuildTaskboard(
             instance, taskRepository, engine, tools, stateStore, audit,
-            stagingRepository, dauerfreigaben, cases, loggerFactory, logger);
+            stagingRepository, dauerfreigaben, stagingGate, cases, loggerFactory, logger);
 
         var host = new AppHost
         {
@@ -800,6 +800,7 @@ public sealed class AppHost : IAsyncDisposable
         SqliteAuditRepository audit,
         SqliteStagingRepository stagingRepository,
         SqliteDauerfreigabeRepository dauerfreigaben,
+        StagingGate stagingGate,
         Core.Cases.ICaseRepository cases,
         ILoggerFactory loggerFactory,
         ILogger logger)
@@ -816,6 +817,14 @@ public sealed class AppHost : IAsyncDisposable
         var staging = new StagingService(stagingRepository, engine, board, loggerFactory, audit,
             dauerfreigaben: dauerfreigaben);
 
+        // #687: A lead within its unit's limits decides instead of the human.
+        var leadApprovals = new LeadApprovals(
+            stagingRepository, board, () => engine.OrganisationProvider?.Invoke(),
+            agent => Core.Organisation.ReportingLine.TrustOf(agent, tools.Get),
+            loggerFactory.CreateLogger("ClawdDotNet.Core.Staging.Leads")) { Service = staging };
+        stagingGate.Route = leadApprovals.RouteAsync;
+        engine.LeadApprovals = leadApprovals;
+
         var dispatcher = new EngineTaskDispatcher(
             engine, () => instance.Agents, instance.InstanceId, tools, stateStore, loggerFactory,
             tasks: taskRepository);