feat(ical): abonnierbarer read-only Kalender-Feed pro Nutzer

Token-gescoper iCal-Feed (/absences/ical/<token>.ics), abonnierbar in
Outlook/Apple/Google. Anders als der CalDAV-Client (Push nach Nextcloud)
pollt der Kalender die URL selbst. Feed zeigt nur die eigenen bestätigten
Abwesenheiten des Token-Inhabers.

- users.ical_token_hash (SHA-256, rotierbar) + Migration 0041 (nur Spalte,
  keine RLS-Aenderung; users-Policy deckt neue nullable Spalte ab)
- Router ical.py: oeffentlicher Feed (kein JWT) + Token-Verwaltung
  POST/GET/DELETE /users/me/ical-token (authentifiziert)
- ProfilePage: Sektion "Kalender-Abo (iCal)" mit Erzeugen/Rotieren/
  Deaktivieren, URL-Anzeige einmalig + Kopieren
- test_ical.py: Token-Lifecycle + oeffentlicher Feed (3 Tests)

Deployed auf 137 (Migration 0041, 196/196 Tests gruen). 164 ausstehend.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

backend/app/models/user.py

@@ -67,6 +67,10 @@ class User(Base):
     # Kalender-Kürzel (vom Manager setzbar, für CalDAV-Template $kuerzel)
     kuerzel: Mapped[str | None] = mapped_column(String(20))
 
+    # iCal-Abo: gehashtes rotierbares Token für den read-only Kalender-Feed
+    # (/absences/ical/<token>.ics). Nur eigene Abwesenheiten, kein JWT nötig.
+    ical_token_hash: Mapped[str | None] = mapped_column(Text, unique=True)
+
     # Personalnummer (numerisch, eindeutig pro Firma; bleibt nach Deaktivierung reserviert)
     personnel_number: Mapped[str | None] = mapped_column(String(50))