feat(safety): zweistufige Notfall-Erkennung mit LLM-Klassifikation

- app/safety/llm_classifier.py: LLM klassifiziert Aeusserungen (medical/self_harm/
  help/none) mit Konfidenz-Schwelle, eigener JSON-Prompt, Reasoning aus, temp 0
- emergency.py: Eskalation in _escalate() gebuendelt (Log/Metrik/Webhook, source-Label);
  schedule_llm_emergency_check() faehrt Stufe 2 als Hintergrund-Task NUR wenn die
  Stichwort-Heuristik nichts fand -> faengt verpasste Formulierungen ohne Mehrlatenz
- /ws/voice schickt bei LLM-Treffer ein nachgelagertes emergency-Event (source=llm)
- Konfig: EMERGENCY_LLM_ENABLED/_PROVIDER/_MIN_CONFIDENCE
- Tests: Parsing, Konfidenz-Schwelle, Skip-bei-Keyword-Treffer, Eskalation+Callback,
  disabled, kaputtes JSON
- Doku: README + Architektur-Roadmap (Punkt 6)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

README.md

@@ -18,7 +18,7 @@ Praktische Bedienung: [`BEDIENUNGSANLEITUNG.md`](BEDIENUNGSANLEITUNG.md).
 - **Routing auf jeder Ebene:** Default → Profil → Nutzer → Session → Request
 - **Authentifizierung** (Bearer-Token) + persistente Nutzer/Sessions (SQLite)
 - **Resilienz:** Fallback-Ketten je Modul (Provider fällt aus → nächster) + Metriken
-- **Betrieb:** Tageskontingent pro Nutzer (`429`) + heuristische Notfall-Eskalation
+- **Betrieb:** Tageskontingent pro Nutzer (`429`) + zweistufige Notfall-Eskalation (Stichwörter + LLM)
 - **Gesprächsgedächtnis pro Session:** Verlauf wird gespeichert und fließt ins LLM
 - **Langzeit-Erinnerungen pro Nutzer:** dauerhafte Fakten/Vorlieben als LLM-Kontext
 - **WebSocket-Streaming-Chat** (`/ws/chat`) als Echtzeit-Transport
@@ -304,20 +304,29 @@ DAILY_REQUEST_LIMIT=200        # 0 = unbegrenzt; pro Nutzer/Tag
 ```
 Pro Nutzer übersteuerbar via `prefs.daily_request_limit` (siehe `PUT /api/me/prefs`).
 
-**Notfall-Eskalation:** `/api/chat` und `/ws/chat` prüfen die Nutzereingabe heuristisch
+**Notfall-Eskalation (zweistufig):** `/api/chat` und `/ws/chat` prüfen die Nutzereingabe
 auf Notlagen-Signale (medizinisch, Selbstgefährdung, Hilferuf — de/en). Bei Treffer
 wird der Vorfall protokolliert, optional ein Webhook ausgelöst und das Signal sichtbar
 gemacht (`X-Emergency`-Header / `emergency`-Feld / WebSocket-`emergency`-Event). Eine
 Notfall-Eingabe umgeht das Kontingent (wird nie geblockt).
 
+1. **Stichwort-Heuristik** im Hot-Path — sofort, ohne Latenz.
+2. **LLM-Klassifikation** als **Hintergrund-Task**, der nur läuft, wenn die Stichwörter
+   nichts fanden. Fängt verpasste Formulierungen (z. B. metaphorisch geäußerte
+   Suizidalität oder Schlaganfall-Symptome ohne Schlüsselwort) mit Konfidenz-Schwelle —
+   **ohne** die Antwortlatenz zu erhöhen. Eskaliert genauso (Log/Webhook), beim WebSocket
+   zusätzlich ein nachgelagertes `emergency`-Event (`source: "llm"`).
+
 ```bash
 EMERGENCY_WEBHOOK_URL=https://example.org/alert   # optional, Benachrichtigung
+EMERGENCY_LLM_ENABLED=true                         # Stufe 2 (Default an); false = nur Stichwörter
+EMERGENCY_LLM_MIN_CONFIDENCE=0.6                   # Schwelle gegen Fehlalarme
 ```
 
-> ⚠️ Die Erkennung ist eine **Schlüsselwort-Heuristik** — kein verlässlicher
-> Lebensretter und kein Ersatz für einen echten Notruf. Sie kann Notlagen verpassen
-> oder Fehlalarme auslösen. Erkannte Texte sind hochsensibel (DSGVO: Einwilligung,
-> Aufbewahrung, Zugriff beachten).
+> ⚠️ Die Erkennung (Heuristik **und** LLM) ist **kein verlässlicher Lebensretter**
+> und kein Ersatz für einen echten Notruf. Sie kann Notlagen verpassen oder Fehlalarme
+> auslösen. Erkannte Texte sind hochsensibel (DSGVO: Einwilligung, Aufbewahrung,
+> Zugriff beachten).
 
 ## Authentifizierung