docs(deploy): Multi-Stage-Build korrekt beschrieben, SSL-Variablen-Hinweis ergaenzt

Die Deploy-Anleitung sagte irrefuehrend "gesamter Code (Python + TypeScript)" im Image. Korrigiert auf den tatsaechlichen Multi-Stage-Build: nur das fertige JS-Bundle landet im NGINX-Image, nicht der TS-Quellcode. Zussaetzlich Hinweis in env-sample und Deployment-Anleitung, dass NGINX_CERTS/CERT/CERT_KEY auch bei SSL=false nicht geloescht werden duerfen, da docker-compose.base.yaml sie immer als Volume/Env bindet.

Generated by Mistral Vibe.
Co-Authored-By: Mistral Vibe <vibe@mistral.ai>

env-sample

@@ -10,6 +10,15 @@ COMPOSE_FILE=docker-compose.base.yaml:docker-compose.${BUILD_ENVIRONMENT}.yaml
 # Parameter für NGINX-Server
 # SSL für NGINX aktivieren (true) oder deaktivieren (false).
 # Bei false muss NGINX_HOST_PORT angepasst werden (z.B. 8080 statt 443).
+#
+# WICHTIG: Auch wenn SSL deaktiviert wird (NGINX_USE_SSL=false), duerfen die
+# Zertifikats-Variablen (NGINX_CERTS, NGINX_CERT, NGINX_CERT_KEY) NICHT geloescht
+# werden. docker-compose.base.yaml bindet ${NGINX_CERTS} immer als Volume
+# (/etc/certs) ein — ein fehlender Wert fuehrt zu einem Compose-Fehler.
+# NGINX_CERT und NGINX_CERT_KEY werden ebenfalls immer als Umgebungsvariablen
+# an den Container uebergeben; bei SSL=false werden sie nicht verwendet, muessen
+# aber als Platzhalter erhalten bleiben. Es reicht, gueltige Platzhalterwerte
+# einzutragen (z.B. NGINX_CERTS auf ein beliebiges Verzeichnis zeigen lassen).
 NGINX_USE_SSL=true
 NGINX_HOST_PORT=443
 NGINX_SERVER_NAME=kbp_crm.mylocal.de