feat(backend): multi-tenant refactor + Geraete + Kundenbilder

Middleware:
- requireTenant prueft tenant_id, Status und Demo-Ablauf (autom. Status-Update)
- requireSuperAdmin fuer cross-tenant Endpoints
- JWT enthaelt jetzt tenant_id

Auth:
- Login: SuperAdmin (tenant_id=NULL) ODER tenant-scoped User
- Demo-Ablaufs-Check beim Login

Neue Routes:
- /api/tenants  (SuperAdmin: Demo-Accounts anlegen mit 30-Tage-Default,
                 Mail-Invite via Resend, Sample-Daten-Seed automatisch,
                 verlaengern, deaktivieren)
- /api/geraete  (Seriennummern-Verwaltung mit Kunde-Zuordnung)
- /api/kunden-bilder/:kunde_id (Foto-Upload, max 5/Kunde)

Bestehende Routes:
- alle tenant_id-scoped (SELECT/UPDATE/DELETE)
- kunden: anlieferungshinweis + lieferzeit_bis Felder
- Cross-tenant-Refs (kunde_id/artikel_id) werden gegen Tenant validiert

Lib:
- lib/mail.js (Resend, mit Dev-Fallback)
- lib/seed.js (5 Kunden, 3 Artikel, 6 Lieferungen, 2 Geraete)
- scripts/bootstrap.js (legt SuperAdmin aus env-Vars beim Start an)

server.js: neue Routes + bootstrap-Call

backend/routes/ruecknahmen.js

@@ -1,116 +1,76 @@
 import express from 'express';
 import { body, validationResult } from 'express-validator';
 import pool from '../config/database.js';
-import { authenticateToken } from '../middleware/auth.js';
+import { authenticateToken, requireTenant } from '../middleware/auth.js';
 import { upload } from '../middleware/upload.js';
 
 const router = express.Router();
+router.use(authenticateToken, requireTenant);
 
-// Alle Routen erfordern Authentifizierung
-router.use(authenticateToken);
+const baseSelect = `
+  SELECT r.*, k.name AS kunde_name, a.bezeichnung AS artikel_bezeichnung,
+         a.pfand_betrag, m.name AS mitarbeiter_name
+  FROM ruecknahmen r
+  LEFT JOIN kunden k ON r.kunde_id = k.id
+  LEFT JOIN artikel a ON r.artikel_id = a.id
+  LEFT JOIN mitarbeiter m ON r.mitarbeiter_id = m.id`;
 
-// GET alle Rücknahmen
 router.get('/', async (req, res) => {
   try {
-    const [rows] = await pool.query(`
-      SELECT 
-        r.*,
-        k.name as kunde_name,
-        a.bezeichnung as artikel_bezeichnung,
-        a.pfand_betrag,
-        m.name as mitarbeiter_name
-      FROM ruecknahmen r
-      LEFT JOIN kunden k ON r.kunde_id = k.id
-      LEFT JOIN artikel a ON r.artikel_id = a.id
-      LEFT JOIN mitarbeiter m ON r.mitarbeiter_id = m.id
-      ORDER BY r.erstellt_am DESC
-    `);
+    const [rows] = await pool.query(
+      `${baseSelect} WHERE r.tenant_id = ? ORDER BY r.erstellt_am DESC`,
+      [req.user.tenant_id]
+    );
     res.json(rows);
-  } catch (error) {
-    console.error('Fehler beim Abrufen der Rücknahmen:', error);
-    res.status(500).json({ error: 'Serverfehler' });
-  }
+  } catch (e) { res.status(500).json({ error: 'Serverfehler' }); }
 });
 
-// GET Rücknahmen nach Kunde
 router.get('/kunde/:kunde_id', async (req, res) => {
   try {
-    const [rows] = await pool.query(`
-      SELECT 
-        r.*,
-        k.name as kunde_name,
-        a.bezeichnung as artikel_bezeichnung,
-        a.pfand_betrag,
-        m.name as mitarbeiter_name
-      FROM ruecknahmen r
-      LEFT JOIN kunden k ON r.kunde_id = k.id
-      LEFT JOIN artikel a ON r.artikel_id = a.id
-      LEFT JOIN mitarbeiter m ON r.mitarbeiter_id = m.id
-      WHERE r.kunde_id = ?
-      ORDER BY r.erstellt_am DESC
-    `, [req.params.kunde_id]);
+    const [rows] = await pool.query(
+      `${baseSelect} WHERE r.tenant_id = ? AND r.kunde_id = ? ORDER BY r.erstellt_am DESC`,
+      [req.user.tenant_id, req.params.kunde_id]
+    );
     res.json(rows);
-  } catch (error) {
-    console.error('Fehler beim Abrufen der Rücknahmen:', error);
-    res.status(500).json({ error: 'Serverfehler' });
-  }
+  } catch (e) { res.status(500).json({ error: 'Serverfehler' }); }
 });
 
-// POST neue Rücknahme (mit optionalem Foto)
 router.post('/', upload.single('foto'), [
   body('kunde_id').notEmpty(),
   body('artikel_id').notEmpty(),
   body('anzahl').isInt({ min: 1 })
 ], async (req, res) => {
   const errors = validationResult(req);
-  if (!errors.isEmpty()) {
-    return res.status(400).json({ errors: errors.array() });
-  }
-
-  const { kunde_id, artikel_id, anzahl } = req.body;
+  if (!errors.isEmpty()) return res.status(400).json({ errors: errors.array() });
   const foto_url = req.file ? `/uploads/${req.file.filename}` : null;
-
   try {
+    const [[k]] = await pool.query('SELECT id FROM kunden WHERE id=? AND tenant_id=?',
+                                   [req.body.kunde_id, req.user.tenant_id]);
+    const [[a]] = await pool.query('SELECT id FROM artikel WHERE id=? AND tenant_id=?',
+                                   [req.body.artikel_id, req.user.tenant_id]);
+    if (!k || !a) return res.status(400).json({ error: 'Kunde oder Artikel nicht im Tenant' });
+
     const [result] = await pool.query(
-      'INSERT INTO ruecknahmen (kunde_id, artikel_id, anzahl, foto_url, mitarbeiter_id) VALUES (?, ?, ?, ?, ?)',
-      [kunde_id, artikel_id, anzahl, foto_url, req.user.id]
+      `INSERT INTO ruecknahmen (tenant_id, kunde_id, artikel_id, anzahl, foto_url, mitarbeiter_id)
+       VALUES (?, ?, ?, ?, ?, ?)`,
+      [req.user.tenant_id, req.body.kunde_id, req.body.artikel_id, req.body.anzahl,
+       foto_url, req.user.id]
     );
-
-    const [newRuecknahme] = await pool.query(`
-      SELECT 
-        r.*,
-        k.name as kunde_name,
-        a.bezeichnung as artikel_bezeichnung,
-        a.pfand_betrag,
-        m.name as mitarbeiter_name
-      FROM ruecknahmen r
-      LEFT JOIN kunden k ON r.kunde_id = k.id
-      LEFT JOIN artikel a ON r.artikel_id = a.id
-      LEFT JOIN mitarbeiter m ON r.mitarbeiter_id = m.id
-      WHERE r.id = ?
-    `, [result.insertId]);
-
-    res.status(201).json(newRuecknahme[0]);
-  } catch (error) {
-    console.error('Fehler beim Anlegen der Rücknahme:', error);
+    const [rows] = await pool.query(`${baseSelect} WHERE r.id = ?`, [result.insertId]);
+    res.status(201).json(rows[0]);
+  } catch (e) {
+    console.error('POST ruecknahmen:', e);
     res.status(500).json({ error: 'Serverfehler' });
   }
 });
 
-// DELETE Rücknahme
 router.delete('/:id', async (req, res) => {
   try {
-    const [result] = await pool.query('DELETE FROM ruecknahmen WHERE id = ?', [req.params.id]);
-
-    if (result.affectedRows === 0) {
-      return res.status(404).json({ error: 'Rücknahme nicht gefunden' });
-    }
-
-    res.json({ message: 'Rücknahme erfolgreich gelöscht' });
-  } catch (error) {
-    console.error('Fehler beim Löschen der Rücknahme:', error);
-    res.status(500).json({ error: 'Serverfehler' });
-  }
+    const [r] = await pool.query('DELETE FROM ruecknahmen WHERE id=? AND tenant_id=?',
+                                 [req.params.id, req.user.tenant_id]);
+    if (r.affectedRows === 0) return res.status(404).json({ error: 'Ruecknahme nicht gefunden' });
+    res.json({ message: 'Ruecknahme geloescht' });
+  } catch (e) { res.status(500).json({ error: 'Serverfehler' }); }
 });
 
 export default router;