OPS-FIXES-1: AR-3 Data Protection Key-Persistenz + AR-4 AI-Env-Korrekte

AR-3 (P1): PersistKeysToFileSystem + persistentes Volume
  Program.cs: AddDataProtection().PersistKeysToFileSystem(keyRingPath).SetApplicationName(GerbilManager)
  Pfad konfigurierbar via DataProtection:KeyRingPath (env DataProtection__KeyRingPath);
  Fallback = ContentRoot/.data-protection-keys (Aspire-Dev-ephemeral, ok).
  compose.yaml: DataProtection__KeyRingPath: /data/keys + Volume-Mount keys:/data/keys.
  Volumes: neues 'keys' Volume (Bind-Mount auf NAS-Dataset KEYS_PATH=/mnt/SSD/gerbil/keys).
  .gitignore: .data-protection-keys/ ignoriert (Dev-only ephemeral keys).
  Verhindert: Gmail-App-Passwort wird nach Image-Redeploy unlesbar (bisher stilles inbox-fail).

AR-4 (P1): compose.yaml + .env.example: AI__* statt ANTHROPIC_API_KEY
  compose.yaml: ANTHROPIC_API_KEY entfernt (Code liest es nicht). Korrekte Vars:
    AI__BaseUrl: ${AI__BaseUrl:-}
    AI__ApiKey: ${AI__ApiKey:-}
    AI__Model: ${AI__Model:-gemini-2.0-flash}
  .env.example: AI__BaseUrl/ApiKey/Model + KEYS_PATH hinzugefuegt; ANTHROPIC_API_KEY entfernt.
  Quelle: docs/ai-provider.md (war korrekt, compose war falsch).
  Verhindert: alle 4 KI-Features (Verkaufstext, Inbox-Entwurf) blieben in prod stumm.

GATE: 139/139 C#-Tests, build gruen (using Microsoft.AspNetCore.DataProtection; framework-included).

deploy/truenas/compose.yaml

@@ -40,10 +40,17 @@ services:
       ConnectionStrings__gerbilmanager: "Host=db;Port=5432;Database=gerbilmanager;Username=postgres;Password=${POSTGRES_PASSWORD}"
       # Speicherort der hochgeladenen Fotos (NAS-Dataset gemounted unter /data/photos)
       Photos__RootPath: /data/photos
-      # KI-Verkaufstext (FEAT-12a stub; leer lassen wenn kein Key vorhanden)
-      ANTHROPIC_API_KEY: "${ANTHROPIC_API_KEY:-}"
+      # AR-3: Data Protection Key-Ring (persistiert Gmail-App-Passwort-Verschlüsselung über Redeployments)
+      DataProtection__KeyRingPath: /data/keys
+      # AR-4: KI-Funktionen (Verkaufstext + Posteingang-Entwurf, Sektion AI; beliebiger OpenAI-kompatibler Anbieter)
+      # Anbieter-Optionen und Schlüssel-Beispiele: docs/ai-provider.md
+      # Leer lassen = KI deaktiviert (503 AiKeyMissing statt Fehler)
+      AI__BaseUrl: "${AI__BaseUrl:-}"
+      AI__ApiKey: "${AI__ApiKey:-}"
+      AI__Model: "${AI__Model:-gemini-2.0-flash}"
     volumes:
       - photos:/data/photos
+      - keys:/data/keys
     depends_on:
       db:
         condition: service_healthy
@@ -101,6 +108,14 @@ volumes:
       type: none
       o: bind
       device: "${PHOTOS_PATH:-/mnt/gerbil/photos}"
+  # AR-3: Data Protection key ring — persistiert Gmail-App-Passwort-Verschlüsselung.
+  # Muss ein persistentes NAS-Dataset sein (nicht dasselbe wie photos).
+  keys:
+    driver: local
+    driver_opts:
+      type: none
+      o: bind
+      device: "${KEYS_PATH:-/mnt/gerbil/keys}"
   backups:
     driver: local
     driver_opts: