refactor(quick-260922-hk4): Bilderrahmen-Bilder in user-files statt in der Datenbank

- Bytes liegen unter user-files/dashboard-images/<userId>/<id>.<ext>, die
  Zeile haelt nur noch storagePath (Muster User.avatarPath)
- Dateiname immer servergeneriert: UUID der Zeile + Endung aus dem
  ERKANNTEN Mime-Typ, originalName kommt in keinem Pfad vor (T-HK4-01)
- Migration 20260922120000: storagePath dazu, data wird NULLbar, kein DROP
  (zweistufig, T-HK4-03); system_read_policy fuer den Umzug
- onApplicationBootstrap zieht Altbestand automatisch um: systemgebunden
  lesen, je Zeile mandantengebunden schreiben (Muster DKV-Planer)
- Upload nimmt die Zeile bei fehlgeschlagenem Schreiben zurueck, Loeschen
  entfernt die Datei mit, fehlende Datei -> 404 (T-HK4-04)
- 11 neue Dienst-Tests gegen ein echtes Temp-Verzeichnis (kein fs-Mock)
- Zugriffsklassifikation: Stand system-gebunden, Zahlen nachgemessen

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

apps/api/prisma/schema.prisma

@@ -212,12 +212,16 @@ model WidgetInstance {
   @@index([tenantId])
 }
 
-// Bilderrahmen-Widget (quick-260921-pi9): hochgeladene Bilder eines Benutzers,
-// als bytea in der Datenbank (kein Docker-Volume, die Sicherung deckt es mit
-// ab). Keine Relation — wie WidgetInstance. Grenzen (5 MiB je Datei, 30 je
+// Bilderrahmen-Widget (quick-260921-pi9): hochgeladene Bilder eines Benutzers.
+// Keine Relation — wie WidgetInstance. Grenzen (5 MiB je Datei, 30 je
 // Benutzer) und die Magic-Byte-Erkennung leben in
 // src/dashboard/dashboard-image-rules.ts; Besitz = gleicher Mandant UND
 // gleicher Benutzer (Regel in Migration 20260921120000 mit Benutzerdimension).
+//
+// quick-260922-hk4: die Bytes liegen jetzt im Dateibereich
+// (user-files/dashboard-images/<userId>/<id>.<ext>), die Zeile haelt nur
+// noch den relativen Pfad — Muster User.avatarPath. Die Datenbanksicherung
+// (pg_dump) bleibt dadurch klein.
 model DashboardImage {
   id           String   @id @default(uuid())
   userId       String
@@ -225,7 +229,14 @@ model DashboardImage {
   originalName String
   mimeType     String
   size         Int
-  data         Bytes
+  // Stufe 1 der zweistufigen Umstellung (Migration 20260922120000): die
+  // Spalte bleibt NULLbar stehen, bis der Bootstrap-Umzug auf allen Servern
+  // gelaufen ist. Neue Uploads schreiben sie nie. DROP kommt mit
+  // 20260922120100 (vorgemerkt in .planning/todos/pending/).
+  data         Bytes?
+  // Relativ zur Monorepo-Wurzel; NULL nur fuer Zeilen, die der
+  // Bootstrap-Umzug noch nicht angefasst hat. Wird in Stufe 2 NOT NULL.
+  storagePath  String?
   createdAt    DateTime @default(now())
 
   @@index([userId])