La questione non riguarda Kotlin (sarebbe la stessa cosa se fosse Java). La questione è che per come hai fatto il controller, il String che restituisce viene trattato come nome di una "view" interna (che non c'è nel tuo caso). Quindi la domanda è: vuoi tirar fuori dalle request delle pagine web ... o DATI?
Se quest'ultima, allora metti come minimo @RestController invece di @Controller. O in alternativa, lascia @Controller ma metti @ResponseBody sul String del tipo di ritorno.