Workspace: Creator-Profile (Onboarding aus dem Konzept)

/workspace/profil.html -- Stammdaten, Ziele und 90-Tage-Plan, genau nach
Seite 5 des Konzepts. Management waehlt oben den Creator aus, ein Creator
sieht nur sein eigenes Profil.

Sicherheitskern ist das Feld admin_notiz. Das Konzept fordert "private
Admin-Notizen separat". Die Notiz wird deshalb nicht im Browser
ausgeblendet, sondern gar nicht erst gesendet: Die Spaltenliste der
Abfrage haengt an der Rolle (FELDER_OFFEN / FELDER_ADMIN). Dasselbe gilt
fuer Plan-Start und Review-Termin.

Geprueft:
- In der kompletten Rohantwort an den Creator kommt der Inhalt der
  internen Notiz 0-mal vor
- Creator auf fremdes Profil: 404 (lesend wie schreibend)
- Scout auf ein Profil: 404, profil.html leitet ihn weg
- Creator setzt admin_notiz selbst: wird stillschweigend ignoriert,
  der Inhalt bleibt unveraendert
- Profil einer Nicht-Creator-Person: 404

Dabei ist ein aelterer Fehler aufgefallen: /api/ich lieferte nur Name und
Rolle, nicht die eigene Nummer. Dadurch rief die Profilseite eines
Creators /api/profil/undefined auf und blieb leer. Derselbe Fehler machte
in der Personenverwaltung den Selbstvergleich unwirksam -- beim eigenen
Eintrag erschien ein "Sperren"-Knopf, den der Server dann ablehnte.
/api/ich liefert jetzt zusaetzlich die id.

Im Protokoll landen nur die Feldnamen, nie die Inhalte: Im Profil stehen
persoenliche Angaben, die nicht zusaetzlich im Audit-Log auftauchen
sollen.

server/index.js

@@ -16,6 +16,7 @@ import { inhaltsrichtlinie } from "./inhaltsrichtlinie.js";
 import { workspaceRouter } from "./workspace.js";
 import { aufgabenRouter } from "./workspace-aufgaben.js";
 import { personenRouter } from "./workspace-personen.js";
+import { profilRouter } from "./workspace-profil.js";
 
 const __dirname = dirname(fileURLToPath(import.meta.url));
 const SITE_DIR = join(__dirname, "..");
@@ -72,6 +73,7 @@ app.use(webdesignGate);
 app.use(workspaceRouter);
 app.use(aufgabenRouter);
 app.use(personenRouter);
+app.use(profilRouter);
 
 /* Sicherheits-Fix 20.08.2026 (Audit vor dem geplanten öffentlichen Start morgen).
    SITE_DIR ist der GESAMTE Repo-Ordner (join(__dirname, "..")) — express.static liefert