refactor: Build-Upload nutzt SECRET_KEY + Doku klargestellt

- Backend: Upload-Auth prueft SECRET_KEY statt eigenen Token
  (ein Token weniger zu verwalten)
- BUILD_UPLOAD_TOKEN in Entwicklungs-.env = SECRET_KEY vom Server
- .env.example: Klarer Kommentar dass CLOUD_URL + BUILD_UPLOAD_TOKEN
  NUR auf der Entwicklungsmaschine gesetzt werden, nicht auf dem Server
- README: Desktop Sync Client Abschnitt mit Build-Anleitung und
  Auto-Upload-Erklaerung

Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com>

backend/app/api/client_downloads.py

@@ -26,7 +26,7 @@ def _clients_dir():
 
 def _verify_build_token():
     """Verify the build upload token from header or query param."""
-    expected = os.environ.get('BUILD_UPLOAD_TOKEN', '')
+    expected = os.environ.get('SECRET_KEY', '')
     if not expected:
         return False
     token = request.headers.get('X-Build-Token', '') or request.args.get('build_token', '')