factory-import: --save-as-builtin Flag + README-Überarbeitung

Schließt die Lücke „nach Import landet die ZIP nicht im Image-Default":

  ./factory-import.sh --save-as-builtin
  → entpackt die ZIP nach erfolgreichem DB-Import zusätzlich in
    backend/factory-defaults/ (alter Inhalt vorher aufgeräumt, README.md
    und .gitkeep bleiben). Beim nächsten Image-Build sind die Defaults
    drin und seeden frische VMs automatisch.

README-Abschnitt „Factory-Defaults" komplett überarbeitet:
- Drei Transport-Pfade explizit erklärt (laufende DB / Drop-Box / Image)
- HTML-Standardtexte + AppSetting-Whitelist dokumentiert
- Auto-Seed-Verhalten + Berechtigungen aktualisiert
- Typische Workflows als End-zu-End-Sequenz inkl. scp-Sync

Live verifiziert: STALE_FILE.txt im backend/factory-defaults/ wurde beim
--save-as-builtin sauber entfernt, README.md blieb erhalten, Subfolder neu
befüllt.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

docs/todo.md

@@ -97,16 +97,19 @@ isolierte Instanz (keine Multi-Tenancy im Code), Provisioning + Abrechnung
 
 ## ✅ Erledigt
 
-- [x] **🔁 Factory-Defaults Sync-Scripts (dev ↔ prod)**
+- [x] **🔁 Factory-Defaults Sync-Scripts (dev ↔ prod ↔ Image)**
   - `./factory-export.sh` zieht eine ZIP per API in `factory-exports/`
     (gitignored Drop-Box).
   - `./factory-import.sh [zip]` lädt die ZIP per API in eine andere Instanz
     – ohne Argument wählt es die jüngste ZIP automatisch.
+  - `./factory-import.sh --save-as-builtin` entpackt die ZIP zusätzlich nach
+    `backend/factory-defaults/` (vorher aufgeräumt). Damit landet sie beim
+    nächsten `docker-compose up --build` als Werkseinstellung im Image und
+    seedet frische DBs automatisch.
   - Konfigurierbar per Env: `OPENCRM_URL`, `OPENCRM_EMAIL`,
     `OPENCRM_PASSWORD` (sonst interaktive Abfrage).
-  - Use-Case: Anbieter/Tarife auf prod erweitert? `./factory-export.sh` auf
-    prod, `scp` ins dev, `./factory-import.sh` lokal – fertig. Geht in
-    beide Richtungen.
+  - README-Abschnitt „Factory-Defaults: Stammdaten-Kataloge teilen"
+    komplett überarbeitet (drei Transport-Pfade, Auto-Seed, Whitelist).
 
 - [x] **🚀 Auto-Seed: Werkseinstellungen beim Erst-Deploy**
   - Inhalt von `backend/factory-defaults/` wird via Dockerfile als