feat(api): Core-API mit Authentifizierung, CRUD und Monatsreport

- Anmeldung über Argon2id und JWT in httpOnly-Cookies, Refresh mit echter
  Rotation über die neue Tabelle refresh_token
- AuthProvider-Protokoll als Vorbereitung für OIDC, Administrator-Anlage beim
  Erststart mit erzwungenem Passwortwechsel
- CRUD für Konten, Kategorien (zweistufiger Baum), Firmen, Recurrences,
  Preisversionen, Buchungen, Budgets, Vorlagen und Sparziele
- Fälligkeiten mit Overlay-Logik: abrufen, bestätigen, auslassen, zurücksetzen
- Kontosalden zum Stichtag, Monatsübersicht mit Plan-Ist-Vergleich
- SECRET_KEY jetzt mindestens 32 Zeichen; Platzhalter in Produktion abgelehnt
- 61 neue Integrationstests, insgesamt 148 grün

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_014e7t8UpmoVNMtWivY5LiSH

backend/app/schemas/merchant.py

@@ -0,0 +1,47 @@
+"""Schemata für Firmen und Zahlungsempfänger."""
+
+from datetime import datetime
+
+from pydantic import Field
+
+from app.models.enums import LogoSource, LogoStatus
+from app.schemas.common import ApiModel, HexColor, InputModel
+
+
+class MerchantCreate(InputModel):
+    name: str = Field(min_length=1, max_length=160, examples=["Netflix"])
+    domain: str | None = Field(
+        default=None,
+        max_length=255,
+        examples=["netflix.com"],
+        description="Verbessert die Trefferquote der Logosuche erheblich.",
+    )
+    aliases: list[str] = Field(
+        default_factory=list, description="Weitere Schreibweisen, etwa aus Kontoauszügen."
+    )
+    brand_color: HexColor | None = None
+    brand_color_dark: HexColor | None = None
+
+
+class MerchantUpdate(InputModel):
+    name: str | None = Field(default=None, min_length=1, max_length=160)
+    domain: str | None = Field(default=None, max_length=255)
+    aliases: list[str] | None = None
+    brand_color: HexColor | None = None
+    brand_color_dark: HexColor | None = None
+
+
+class MerchantOut(ApiModel):
+    id: int
+    name: str
+    normalized_name: str
+    domain: str | None
+    aliases: list[str]
+    logo_asset_id: int | None = Field(
+        description="Wenn gesetzt, ist das Logo unter /api/logos/{id} abrufbar."
+    )
+    brand_color: str | None
+    brand_color_dark: str | None
+    logo_source: LogoSource | None
+    logo_status: LogoStatus
+    created_at: datetime