feat: T6 wave 3 – treatment books from lot, label print lock, restricted zone, authority notices

- Treatments book their dose from a medicine lot (delta booking on edit,
  bulk all-or-nothing, idempotent); Bestandsbuch columns from the lot,
  FEHLT exactly where treatmentLogGaps reports a gap; Bestandsbuch export
  needs veterinary-medicines:read.
- Label printing: 409 LABEL_PARTICULARS_MISSING on gaps, proof print with
  watermark, PRINT audit before the PDF, check endpoints; digit rules only
  from the seeded ComplianceSettings row (fail closed).
- Restricted zone (Berlin day): create, update, move, merge and CSV import
  blocked inside an active restriction; override with reason and
  compliance:manage, audited, never stored on the colony; split, harvest
  and dissolve stay free; restriction details only with compliance:read.
- Authority notices: settings, herd snapshot, registration/herd change/TSK
  notices with one open draft per kind under the settings lock.
- Label check refinements (geometric reading order, number|unit pairs).
- ARCHITECTURE.md §12.6–12.8, Annahmen 71–77; spec §5.6 Berlin day.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

docs/superpowers/specs/2026-10-13-t6-compliance-design.md

@@ -494,8 +494,8 @@ Gezählt werden lebende Völker über `LIVING_COLONY_WHERE` (Annahme 21) an akti
 
 ### 5.6 Sperrbezirk
 
-- **Aktiv** ist eine Sperre, wenn `startsOn` ≤ Tag ≤ `endsOn` gilt (oder `endsOn` leer ist). „Tag“ ist der UTC-Tag wie in der täglichen Auswertung (`utcDay`).
-- **Gemeinsamer Helfer** `assertNoActiveRestriction(tx, apiaryIds, day, override)` in `src/compliance/restricted-zone.ts`. Er wirft `409 { code: 'RESTRICTED_ZONE', message, restrictionIds }`.
+- **Aktiv** ist eine Sperre, wenn `startsOn` ≤ Tag ≤ `endsOn` gilt (oder `endsOn` leer ist). „Tag“ ist der **Berliner Kalendertag** (`berlinToday()`, Inhaber-Entscheidung 2026-10-15; nicht UTC). Es gibt keinen `dbUtcDay`.
+- **Gemeinsamer Helfer** `assertNoActiveRestriction(tx, apiaryIds, day, override)` in `src/compliance/restricted-zone.ts`. Er wirft `409 { code: 'RESTRICTED_ZONE', message, restrictionIds, restrictions }`.
 
 | Vorgang | Wirkung |
 |---|---|
@@ -507,9 +507,12 @@ Gezählt werden lebende Völker über `LIVING_COLONY_WHERE` (Annahme 21) an akti
 | Ernte am gesperrten Stand | nur Warnung im Formular (Inhaber 2026-10-13) |
 
 - **Ausnahme:** Feld `restrictionOverrideReason` (10–500 Zeichen) an `CreateColonyDto`, `UpdateColonyDto`, `MoveColonyDto` und `MergeColonyDto`.
-  - Nur mit `compliance:manage`. Der Service prüft das über `PermissionResolverService.getPermissions`, sonst 403.
+  - Nur mit `compliance:manage`. Der Service prüft das über `PermissionResolverService.getPermissions`, sonst 403 - **immer**, auch wenn gar keine Sperre aktiv ist, und gleich zu Beginn der Anfrage. Ohne Passwort-Abfrage (Inhaber-Entscheidung 2026-10-15).
   - Die Begründung landet im Audit-Eintrag und in `ColonyApiaryHistory.notes` („Ausnahme Sperrbezirk: …“).
   - Das Feld wird nicht am Volk gespeichert. Für die Null-Regel gilt `null` wie weggelassen. `update-dto-null-handling.spec.ts` hält das fest.
+- **Gleichzeitigkeit:** Die Völker-Pfade sperren zuerst die Stände (`FOR SHARE`, aufsteigend), dann das Volk; ändert ein Volk zwischen ungesperrtem Lesen und Sperre seinen Stand, antwortet der Server 409 „Der Stand wurde gerade geändert. Bitte neu laden.“ (kein automatischer Neuversuch). `ApiaryRestrictionsService` sperrt die Stände `FOR UPDATE`.
+- **CSV-Import:** Völker, die der Import in einem gesperrten Stand anlegen würde, werden als Zeilenfehler gemeldet (Sperrbezirk-Meldung, nichts geschrieben); der Import hat keine Ausnahme.
+- **Lesen:** `GET /apiary-restrictions` und `GET /apiaries/:id/restrictions` liefern Behörde, Aktenzeichen, Notiz und Ersteller nur mit `compliance:read`; mit nur `apiaries:read` gibt es `id`, `apiaryId`, `disease`, `startsOn`, `endsOn`.
 - **Erfassen:** `POST /apiary-restrictions` mit `apiaryIds` (1–50) legt eine Zeile je Stand in einer Transaktion an. Beendet wird eine Sperre über `endsOn`. Gelöscht wird nichts.
 
 ### 5.7 Prüfbereitschaft