feat: sync calendar entries to a Microsoft 365 group calendar

Adds a one-way push (ApiCore -> M365) of Aufgaben/Durchsichten/
Behandlungen/Fütterungen/Ernten/Königinnen-Zuordnungen into the calendar
of a Microsoft 365 group, via the Graph API.

- CalendarSyncModule (app-only client-credentials Graph auth, separate
  from the interactive SSO app registration; new env vars
  M365_CALENDAR_TENANT_ID/_CLIENT_ID/_CLIENT_SECRET).
- Outbox + minute-interval cron worker (CalendarSyncOutboxEntry) instead
  of a synchronous push, since Graph calls are too slow/flaky to block a
  domain create request on; failed syncs retry up to 5 times.
- Per-source-type toggle plus a group-ID field, configurable in
  Verwaltung > Automatisierung > Kalender-Sync (Verwaltung > Backup, an
  env var still wins on those fields where one applies to related config).
- Hooked into Tasks/Inspections/Treatments/Feedings/Harvests/Queens at
  their existing create (and Task update/complete) points; entries render
  as all-day Graph events to avoid timezone ambiguity.
- Documents the design decision in ARCHITECTURE.md (Annahme 9), since
  this is a net-new capability the lastenheft doesn't scope.

Co-Authored-By: Claude Sonnet 5 <[email protected]>

ApiCore-Backend/.env.example

@@ -48,6 +48,20 @@ OIDC_CLIENT_ID="change-me-entra-client-id"
 OIDC_CLIENT_SECRET="change-me-entra-client-secret"
 OIDC_REDIRECT_URI="http://localhost:3001/api/v1/auth/sso/callback"
 
+# M365-Kalender-Synchronisation (Modul Kalender). Eintraege (Aufgaben,
+# Durchsichten, Behandlungen, Fuetterungen, Ernten, Koeniginnen-Zuordnungen)
+# werden einseitig (ApiCore -> M365) in den Kalender einer Microsoft-365-
+# Gruppe uebertragen. Eigene, separate App-Registrierung in Azure/Entra
+# (NICHT dieselbe wie OIDC_CLIENT_ID oben) mit Application-Permission
+# "Calendars.ReadWrite" (Admin-Consent noetig), Client-Credentials-Flow.
+# Ohne alle drei Werte bleibt die Synchronisation deaktiviert. Zusaetzlich
+# muss die Synchronisation UND die jeweilige Gruppen-ID in der GUI
+# (Verwaltung > Automatisierung > Kalender-Sync) aktiviert/gesetzt werden -
+# diese drei Env-Variablen allein reichen nicht.
+M365_CALENDAR_TENANT_ID="change-me-m365-tenant-id"
+M365_CALENDAR_CLIENT_ID="change-me-m365-client-id"
+M365_CALENDAR_CLIENT_SECRET="change-me-m365-client-secret"
+
 # Swagger-UI unter /api/v1/docs ist per Default deaktiviert, da sie das
 # gesamte API-Schema ungeschuetzt (kein JwtAuthGuard) preisgeben wuerde.
 # Nur fuer lokale Entwicklung/Debugging explizit aktivieren.