fix(deploy): Prisma im Worker buendeln, Worker-Benutzer waehlbar (#007)

Im Docker-Stapel startete der Worker nicht: pnpm legt @prisma/client
im Standalone-Ordner nicht dort ab, wo die ESM-Aufloesung sucht. Der
Client wird jetzt mitgebuendelt.

Docker-Secrets ohne Swarm tragen die Rechte der Host-Datei. Wer den
Master-Key nicht auf UID 1001 umschreiben kann, setzt stattdessen
SSHKV_WORKER_USER auf den Eigentuemer der Datei.

Gesamter Stapel geprueft: migrate, web und worker gesund.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

.env.example

@@ -27,6 +27,8 @@ SSHKV_MASTER_KEY_FILE=./geheim/master.key
 # Betrieb: Datei auf dem Docker-Host, die als Secret nur in den Worker kommt.
 # Rechte: chown 1001:1001, chmod 400 (der Worker verweigert lesbare Schluessel).
 SSHKV_MASTER_KEY_HOST_FILE=./geheim/master.key
+# Benutzer, unter dem der Worker laeuft (muss die Datei lesen duerfen). Standard 1001:1001.
+# SSHKV_WORKER_USER=1001:1001
 
 # --- OIDC (authentik) ----------------------------------------------------------
 SSHKV_OIDC_ISSUER=