feat(backend): multi-tenant refactor + Geraete + Kundenbilder

Middleware:
- requireTenant prueft tenant_id, Status und Demo-Ablauf (autom. Status-Update)
- requireSuperAdmin fuer cross-tenant Endpoints
- JWT enthaelt jetzt tenant_id

Auth:
- Login: SuperAdmin (tenant_id=NULL) ODER tenant-scoped User
- Demo-Ablaufs-Check beim Login

Neue Routes:
- /api/tenants  (SuperAdmin: Demo-Accounts anlegen mit 30-Tage-Default,
                 Mail-Invite via Resend, Sample-Daten-Seed automatisch,
                 verlaengern, deaktivieren)
- /api/geraete  (Seriennummern-Verwaltung mit Kunde-Zuordnung)
- /api/kunden-bilder/:kunde_id (Foto-Upload, max 5/Kunde)

Bestehende Routes:
- alle tenant_id-scoped (SELECT/UPDATE/DELETE)
- kunden: anlieferungshinweis + lieferzeit_bis Felder
- Cross-tenant-Refs (kunde_id/artikel_id) werden gegen Tenant validiert

Lib:
- lib/mail.js (Resend, mit Dev-Fallback)
- lib/seed.js (5 Kunden, 3 Artikel, 6 Lieferungen, 2 Geraete)
- scripts/bootstrap.js (legt SuperAdmin aus env-Vars beim Start an)

server.js: neue Routes + bootstrap-Call

backend/lib/mail.js

@@ -0,0 +1,32 @@
+import { Resend } from 'resend';
+
+const resend = process.env.RESEND_API_KEY ? new Resend(process.env.RESEND_API_KEY) : null;
+const FROM = process.env.MAIL_FROM || 'Pfandsystem Demo <demo@dockly.de>';
+
+export async function sendDemoInviteMail({ to, name, slug, password, loginUrl, days }) {
+  if (!resend) {
+    console.log('[mail-dev] Demo-Invite an', to, 'Slug:', slug, 'Pw:', password);
+    return { dev: true };
+  }
+  const html = `
+    <div style="font-family:system-ui,Segoe UI,Helvetica,Arial,sans-serif;max-width:560px;margin:auto">
+      <h2 style="color:#1e293b">Willkommen im Pfandsystem-Demo</h2>
+      <p>Hallo ${name},</p>
+      <p>dein <strong>${days}-Tage Demo-Zugang</strong> ist bereit. Du kannst alle Funktionen
+         in Ruhe testen und eigene Beispieldaten anlegen.</p>
+      <div style="background:#f8fafc;border:1px solid #e2e8f0;border-radius:8px;padding:16px;margin:16px 0">
+        <p style="margin:4px 0"><strong>Login-URL:</strong> <a href="${loginUrl}">${loginUrl}</a></p>
+        <p style="margin:4px 0"><strong>E-Mail:</strong> ${to}</p>
+        <p style="margin:4px 0"><strong>Passwort:</strong> <code>${password}</code></p>
+        <p style="margin:4px 0"><strong>Tenant-Kennung:</strong> ${slug}</p>
+      </div>
+      <p>Bitte aendere dein Passwort nach dem ersten Login.</p>
+      <p style="color:#64748b;font-size:12px">Diese Mail wurde automatisch versandt vom Pfandsystem-Demo-Portal.</p>
+    </div>`;
+  return resend.emails.send({
+    from: FROM,
+    to,
+    subject: `Dein Pfandsystem-Demo-Zugang (${days} Tage)`,
+    html
+  });
+}

backend/lib/seed.js

@@ -0,0 +1,62 @@
+import crypto from 'crypto';
+
+// Befuellt einen frischen Demo-Tenant mit Beispieldaten
+// (5 Kunden, 3 Artikel, 6 Lieferungen, 2 Geraete).
+export async function seedDemoTenant(conn, tenantId) {
+  // Artikel
+  const artikel = [
+    { id: crypto.randomUUID(), name: 'Brotkorb klein',  pfand: 2.50 },
+    { id: crypto.randomUUID(), name: 'Brotkorb gross',  pfand: 5.00 },
+    { id: crypto.randomUUID(), name: 'Transportbox',    pfand: 10.00 }
+  ];
+  for (const a of artikel) {
+    await conn.query(
+      'INSERT INTO artikel (id, tenant_id, bezeichnung, pfand_betrag) VALUES (?, ?, ?, ?)',
+      [a.id, tenantId, a.name, a.pfand]
+    );
+  }
+
+  // Kunden
+  const kunden = [
+    { name: 'Cafe Sonnenschein',    adresse: 'Bahnhofstr. 12, 10115 Berlin',     zeit: '05:00', hinweis: 'Anlieferung Hintertuer. Code 1234#.' },
+    { name: 'Restaurant Roma',      adresse: 'Hauptstr. 88, 10117 Berlin',        zeit: '06:30', hinweis: 'Schluesselkasten links neben Eingang.' },
+    { name: 'Hotel Adlerhorst',     adresse: 'Seestrasse 5, 14193 Berlin',        zeit: '05:30', hinweis: 'Anlieferung Tiefgarage Ebene -1, Tor 3.' },
+    { name: 'Kantine Werk Nord',    adresse: 'Industriestr. 200, 13407 Berlin',   zeit: '06:00', hinweis: 'Werkschutz Bescheid geben, Tor B.' },
+    { name: 'Baeckerei Schmitt',    adresse: 'Marktplatz 4, 10178 Berlin',        zeit: '04:45', hinweis: 'Direkt in den Verkaufsraum stellen.' }
+  ];
+  const kundenIds = [];
+  for (const k of kunden) {
+    const id = crypto.randomUUID();
+    kundenIds.push(id);
+    await conn.query(
+      `INSERT INTO kunden (id, tenant_id, name, adresse, lieferzeit_bis, anlieferungshinweis)
+       VALUES (?, ?, ?, ?, ?, ?)`,
+      [id, tenantId, k.name, k.adresse, k.zeit, k.hinweis]
+    );
+  }
+
+  // Lieferungen (verteilt ueber die letzten 14 Tage)
+  for (let i = 0; i < 6; i++) {
+    const kid = kundenIds[i % kundenIds.length];
+    const aid = artikel[i % artikel.length].id;
+    const anz = (i % 3) + 1;
+    await conn.query(
+      `INSERT INTO lieferungen (tenant_id, kunde_id, artikel_id, anzahl, erstellt_am)
+       VALUES (?, ?, ?, ?, DATE_SUB(NOW(), INTERVAL ? DAY))`,
+      [tenantId, kid, aid, anz, i * 2]
+    );
+  }
+
+  // Geraete
+  const geraete = [
+    { sn: 'OF-2024-001', typ: 'Ofen',         bez: 'Miwe Condo 3-Etagen',   kid: kundenIds[0] },
+    { sn: 'KS-2024-007', typ: 'Kuehlschrank', bez: 'Liebherr GKv 5710',      kid: kundenIds[2] }
+  ];
+  for (const g of geraete) {
+    await conn.query(
+      `INSERT INTO geraete (id, tenant_id, seriennummer, typ, bezeichnung, kunde_id, status)
+       VALUES (UUID(), ?, ?, ?, ?, ?, 'aktiv')`,
+      [tenantId, g.sn, g.typ, g.bez, g.kid]
+    );
+  }
+}