Machbar wäre es zumindest theoretisch mit einem Shelly 2.5, wo man die Pumpenversorgung dann einfach über beide Relaiskontakte in Reihe schleifen könnte. Per URL Action, welche gewollt sind, kann man beide Relais einschalten und ausschalten und wenn am z.B. SW1 Eingang (ebenfalls detached) der Levelsensor auf TRUE geht, setzt du wie oben auto off und deaktivierst den schedule, das aber für beide Relais.
Wenn dann einer in der App ein Relais schaltet, müsste er sich schon ziemlich beeilen, auch das 2. Relais mit Absicht einzuschalten, bevor der Auto-Off Timer das andere Relais schon wieder abgeschaltet hat.
Vielleicht geht's beim Shelly 2.5 sogar so weit, dass du per SW1 Action die Konfiguration des Shellys änderst und darüber die DEVIDE TYPE steuerst und zwischen "Relay" und "Roller Shutter" umschalten kannst, dann wären über die Device Type die beiden Relais gegeneinander verriegelt und per App könnte man dann nie beide gleichzeitig schalten, um die Pumpe einzuschalten.
Ich habe leider selbst keinen 2.5er, aber beim Dimmer2 kann man viele Einstellungen per http direkt ändern, z.B. button type, Url actions etc... Vermute, den device type kann man so auch beeinflussen.