feat(backend): multi-tenant refactor + Geraete + Kundenbilder

Middleware:
- requireTenant prueft tenant_id, Status und Demo-Ablauf (autom. Status-Update)
- requireSuperAdmin fuer cross-tenant Endpoints
- JWT enthaelt jetzt tenant_id

Auth:
- Login: SuperAdmin (tenant_id=NULL) ODER tenant-scoped User
- Demo-Ablaufs-Check beim Login

Neue Routes:
- /api/tenants  (SuperAdmin: Demo-Accounts anlegen mit 30-Tage-Default,
                 Mail-Invite via Resend, Sample-Daten-Seed automatisch,
                 verlaengern, deaktivieren)
- /api/geraete  (Seriennummern-Verwaltung mit Kunde-Zuordnung)
- /api/kunden-bilder/:kunde_id (Foto-Upload, max 5/Kunde)

Bestehende Routes:
- alle tenant_id-scoped (SELECT/UPDATE/DELETE)
- kunden: anlieferungshinweis + lieferzeit_bis Felder
- Cross-tenant-Refs (kunde_id/artikel_id) werden gegen Tenant validiert

Lib:
- lib/mail.js (Resend, mit Dev-Fallback)
- lib/seed.js (5 Kunden, 3 Artikel, 6 Lieferungen, 2 Geraete)
- scripts/bootstrap.js (legt SuperAdmin aus env-Vars beim Start an)

server.js: neue Routes + bootstrap-Call

backend/scripts/bootstrap.js

@@ -0,0 +1,38 @@
+import bcrypt from 'bcrypt';
+import pool from '../config/database.js';
+
+// Stellt sicher dass mindestens ein SuperAdmin existiert.
+// Nutzt env SUPERADMIN_EMAIL + SUPERADMIN_PASSWORD beim ersten Start.
+export async function bootstrapSuperAdmin() {
+  const email = process.env.SUPERADMIN_EMAIL;
+  const password = process.env.SUPERADMIN_PASSWORD;
+  if (!email || !password) {
+    console.warn('[bootstrap] SUPERADMIN_EMAIL/PASSWORD nicht gesetzt - skip');
+    return;
+  }
+  // Auf Datenbank-Bereitschaft warten (max 30s)
+  for (let i = 0; i < 30; i++) {
+    try {
+      await pool.query('SELECT 1');
+      break;
+    } catch {
+      await new Promise(r => setTimeout(r, 1000));
+    }
+  }
+
+  const [rows] = await pool.query(
+    "SELECT id FROM mitarbeiter WHERE email = ? AND tenant_id IS NULL AND rolle = 'superadmin'",
+    [email]
+  );
+  if (rows.length > 0) {
+    console.log('[bootstrap] SuperAdmin existiert:', email);
+    return;
+  }
+  const hash = await bcrypt.hash(password, 10);
+  await pool.query(
+    `INSERT INTO mitarbeiter (id, tenant_id, email, password_hash, name, rolle, aktiv)
+     VALUES (UUID(), NULL, ?, ?, 'SuperAdmin', 'superadmin', 1)`,
+    [email, hash]
+  );
+  console.log('[bootstrap] SuperAdmin angelegt:', email);
+}