fix(admin): serve media from private storage

README.md

@@ -87,7 +87,7 @@ Port:
 Die Runtime-Daten werden über Docker-Volumes gespeichert:
 
 - `funktechnik-data` → `/app/data`
-- `funktechnik-uploads` → `/app/public/uploads/images`
+- `funktechnik-storage` → `/app/storage`
 - `funktechnik-next-cache` → `/app/.next/cache`
 
 Dadurch sind keine manuellen `chmod`- oder `chown`-Befehle notwendig.
@@ -166,7 +166,9 @@ data/site-settings.json
 data/smtp-settings.json
 ```
 
-Uploads unter `public/uploads/images/` werden ebenfalls nicht committed.
+Uploads liegen unter `storage/uploads/images/`, werden über `/api/media/[filename]` ausgeliefert und nicht committed.
+
+Alte Uploads aus `public/uploads/images` werden beim Start einmalig nach `storage/uploads/images` migriert, falls sie dort noch nicht vorhanden sind.
 
 ## Healthcheck
 
@@ -223,7 +225,7 @@ scripts/healthcheck.sh
 scripts/backup.sh
 ```
 
-Das Backup enthält `data/` und `public/uploads/`. Die `.env` wird bewusst nicht automatisch gesichert. Sie muss separat sicher abgelegt werden.
+Das Backup enthält `data/` und `storage/`. Die `.env` wird bewusst nicht automatisch gesichert. Sie muss separat sicher abgelegt werden.
 
 ## Restore