docs(security): document localStorage privacy + note ID fallback (#8)

- README gains a "Datenschutz & Speicherung" section: local single-user tool,
  unencrypted localStorage, avoid shared devices, export JSON to back up.
- Comments the generateId Math.random fallback as a non-crypto last resort,
  acceptable for local employee ids.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

README.md

@@ -25,3 +25,15 @@ Die App läuft auf **http://localhost:3001**.
 ```bash
 npm test
 ```
+
+## Datenschutz & Speicherung
+
+Diese App ist ein **lokales Single-User-Werkzeug**: Alle Daten (Mitarbeiternamen,
+Urlaube, Pläne, Verlauf) werden ausschließlich **im Browser** (`localStorage`)
+gespeichert. Es gibt keinen Server und keine Übertragung an Dritte. Die Daten
+liegen **unverschlüsselt** vor und sind für jeden zugänglich, der Zugriff auf
+dasselbe Browser-Profil hat.
+
+- App **nicht auf geteilten/öffentlichen Geräten** für sensible Daten nutzen.
+- Datenstand regelmäßig über **JSON-Export** (Tab „Daten") sichern.
+- Beim Leeren der Browserdaten gehen alle nicht exportierten Daten verloren.