fix(deploy): Datenbank-Passwort per PGPASSWORD statt in der Verbindungs-URL

Passwörter mit / + = @ (z. B. aus openssl rand -base64) machten DATABASE_URL ungültig
("TypeError: Invalid URL", api und worker im Neustart-Loop). Lokal mit Passwort "Ab/cd+ef=gh9" geprüft.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/OPERATIONS.md

@@ -63,7 +63,7 @@ Standalone-Variante nutzt deshalb für Build und Betrieb das Host-Netzwerk des L
    nano deploy/.env
    ```
    - `TRUST_PROXY` = IP des Traefik-Servers (nur er darf die Client-IP weitergeben)
-   - `INGEST_HMAC_SECRET`, `POSTGRES_PASSWORD` (nur Buchstaben und Ziffern, das Passwort steht in einer URL)
+   - `INGEST_HMAC_SECRET` und `POSTGRES_PASSWORD` (z. B. mit `openssl rand -hex 32`; Sonderzeichen sind erlaubt)
    - bei Bedarf `HTTP_PROXY`/`HTTPS_PROXY`/`NO_PROXY` (siehe „Ausgehender Proxy“)
    - `DOMAIN`, `TRAEFIK_*` und `INGEST_ALLOWED_IPS` werden in dieser Variante nicht genutzt (das regelt Traefik selbst, siehe unten)
 3. **Starten:**
@@ -129,7 +129,7 @@ Standalone-Variante nutzt deshalb für Build und Betrieb das Host-Netzwerk des L
 git clone <repo> atm10-stats && cd atm10-stats
 cp deploy/.env.example deploy/.env
 openssl rand -hex 32        # Wert für INGEST_HMAC_SECRET
-openssl rand -base64 24     # Wert für POSTGRES_PASSWORD
+openssl rand -hex 24        # Wert für POSTGRES_PASSWORD
 nano deploy/.env            # DOMAIN, TRAEFIK_*, INGEST_ALLOWED_IPS, Secrets, optional SFTP_*
 docker compose -f deploy/docker-compose.yml --env-file deploy/.env up -d --build
 docker compose -f deploy/docker-compose.yml --env-file deploy/.env ps     # api, web, db: healthy