feat(datenmodell): Schema, tagCodes und Geheimnisse (#20)

Vollständiges Datenmodell in deutscher Benennung: 20 Tabellen, 9 Aufzählungen,
eine Migration, dazu die framework-freien Helfer für tagCodes und Geheimnisse.

Regeln stehen zusätzlich in der Datenbank, nicht nur im Service: 12 CHECKs,
2 partielle Eindeutigkeitsindizes, 4 zusammengesetzte Fremdschlüssel. Die
Mandantengrenze ist damit strukturell erzwungen. Schrittergebnisse, Kommentare
und Protokolleinträge kaskadieren bewusst nicht — das Archiv ist das Gedächtnis
der Anwendung.

106 Tests, davon 42 gegen die echten Datenbankregeln.

Closes #6

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

CLAUDE.md

@@ -33,11 +33,13 @@ Der Auftrag nennt englische Modelle. Verbindlich gilt:
 | Device | `Geraet` | StepResult | `Schrittergebnis` |
 | DeviceTemplateDefault | `GeraetetypVorlage` | Comment | `Kommentar` |
 | — (ergänzt) | `AbgleichSperre` | AuditLog | `Protokoll` |
+| — (ergänzt) | `BenutzerKunde` | — (ergänzt) | `TagCodeVergabe` |
 
 Enums: `Rolle {ADMIN REDAKTEUR TECHNIKER LESER}` · `Betriebsmodus {INTERN DIENSTLEISTUNG}` ·
 `LaufStatus {OFFEN IN_ARBEIT ABGESCHLOSSEN ARCHIVIERT}` ·
 `SchrittZustand {OFFEN ERLEDIGT NICHT_ZUTREFFEND FEHLGESCHLAGEN}` ·
 `SchrittTyp {HAKEN TEXT ZAHL AUSWAHL DATUM BEFEHL}` (später `AKTION`) ·
+`VariablenTyp {TEXT ZAHL AUSWAHL DATUM}` ·
 `GeraeteTyp {PC NOTEBOOK SERVER FIREWALL SWITCH DRUCKER RAUM SONSTIGES}` ·
 `VersionStatus {ENTWURF VEROEFFENTLICHT}` · `Herkunft {ABGLEICH MANUELL}`.
 
@@ -76,7 +78,14 @@ Dreizeiler: Recht prüfen, Zod-Schema anwenden, Service rufen.
 - **`{{generiertes_passwort}}`:** wird je Anzeige neu erzeugt und **nie** gespeichert — nicht in
   `Schrittergebnis`, `Kommentar`, `Protokoll` oder der Druckansicht.
 - **Erweiterbarkeit:** Kein Codepfad nimmt an, dass ein Schritt nur von einem Menschen erledigt
-  wird. `SchrittTyp` bekommt später `AKTION`, `konfig` und `wert` sind Json.
+  wird. `SchrittTyp` bekommt später `AKTION`, `konfig` und `wert` sind Json, und
+  `Lauf.erstelltVonId` wie `Schrittergebnis.aktualisiertVonId` dürfen leer sein — ein Systemlauf
+  ist darstellbar.
+- **Regeln stehen in der Datenbank, nicht nur im Service.** Zwölf CHECK-Bedingungen, zwei
+  partielle Eindeutigkeitsindizes und vier zusammengesetzte Fremdschlüssel halten fest, was auch
+  dann gelten muss, wenn jemand an der Service-Schicht vorbei schreibt. Die Mandantengrenze ist
+  einer davon: ein Lauf kann strukturell kein Gerät, keine Person und keine Abteilung eines
+  fremden Kunden wählen. Der Service prüft dasselbe noch einmal, nur mit besserer Meldung.
 
 ## Werkzeuge und Versionen