chore: PocketBase auf 0.39.11 aktualisieren

Der Pin stand auf 0.39.6, aktuelles Release ist 0.39.11. Reine Patch-Updates
innerhalb 0.39, keine Schema- oder API-Aenderungen, aber sicherheitsrelevant:
0.39.7 ersetzt ozzo-validation durch einen eigenen Fork, nachdem die
Originalbibliothek den Besitzer gewechselt hat; 0.39.8 und 0.39.11 ziehen
Sicherheitsfixes der golang.org/x-Abhaengigkeiten nach.

Version an beiden aktiven Stellen gesetzt (Dockerfile-ARG und der Default in
docker-compose.yaml). Die Planungsdokumente unter docs/ bleiben unangetastet,
sie halten den Stand ihrer Entstehung fest.

.env.example um den Deployment-Fall ergaenzt: Beim Deployment gibt es keine
.env-Datei, dieselben Variablen werden in Coolify als Environment Variables
gesetzt. Ausserdem der Hinweis, dass SUPERUSER_* nur greift, solange noch kein
Superuser existiert — nachtraegliche Aenderungen wirken nicht mehr.

Verifiziert: Image gebaut, Binary meldet 0.39.11, alle Migrationen laufen
gegen eine frische Datenbank durch, alle elf Collections vorhanden,
Team-Anlage als normaler User erfolgreich.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

backend/.env.example

@@ -2,16 +2,27 @@
 #   cp .env.example .env
 #
 # Diese Datei enthält nur Platzhalter und ist versioniert. Die echte .env steht
-# in .gitignore und darf nicht committet werden.
+# in .gitignore und darf nicht committet werden. Niemals echte Zugangsdaten
+# hier eintragen.
+#
+# Beim Deployment (Coolify) gibt es keine .env-Datei: Dieselben Variablen werden
+# dort in der Oberfläche unter Environment Variables gesetzt. Docker Compose
+# liest sie nur lokal aus dieser Datei — der entrypoint sieht in beiden Fällen
+# schlicht Umgebungsvariablen und verhält sich identisch.
 
 # Admin-Zugang, wird nur beim allerersten Start angelegt. Existiert der Account
 # bereits, bleibt das Passwort unverändert — spätere Änderungen gehören ins
 # Admin-UI, nicht in diese Datei. Mindestens 8 Zeichen.
 # Beide Variablen weglassen = PocketBase gibt beim ersten Start einen
 # Installer-Link im Log aus (30 Minuten gültig).
+#
+# Wichtig fürs Deployment: Die Variablen wirken nur, solange noch kein
+# Superuser existiert. Sie nachträglich zu ändern hat keine Wirkung; das
+# Passwort wird dann ausschließlich im Admin-UI geändert. Details und alle
+# Fälle in README.md, Abschnitt „Superuser-Verhalten".
 SUPERUSER_EMAIL=admin@example.de
 SUPERUSER_PASSWORD=bitte-aendern-min-8-zeichen
 
 # Optional: überschreibt den in docker-compose.yaml gepinnten Default.
 # Nur setzen, wenn bewusst eine andere PocketBase-Version gebaut werden soll.
-#PB_VERSION=0.39.6
+#PB_VERSION=0.39.11

backend/Dockerfile

@@ -4,7 +4,7 @@ FROM alpine:3.21
 # pocketbase_<version>_linux_amd64.zip, ein "latest" gibt es nicht. Ohne Pin
 # zöge jeder Redeploy unangekündigt eine neue Version inklusive möglicher
 # DB-Schema-Migrationen.
-ARG PB_VERSION=0.39.6
+ARG PB_VERSION=0.39.11
 
 RUN apk add --no-cache ca-certificates unzip wget
 

backend/docker-compose.yaml

@@ -4,7 +4,7 @@ services:
       context: .
       args:
         # Version-Pin. Update: hier bzw. im Dockerfile hochsetzen und committen.
-        PB_VERSION: ${PB_VERSION:-0.39.6}
+        PB_VERSION: ${PB_VERSION:-0.39.11}
     restart: unless-stopped
     ports:
       - "8090:8090"