feat(deploy): TrueNAS Custom-App + Auto-Deploy, plus aufgelaufene Arbeit

Deployment:
- custom-app.compose.yaml: self-contained Compose fuer TrueNAS "Custom App"
  (absolute Host-Bind-Pfade, postgres:18, pull_policy always, Port 8090)
- scripts/truenas-deploy.sh: Host-Skript create/redeploy via midclt (App
  bleibt unter Apps sichtbar) inkl. Image-Pull + Health-Check
- ci.yml Deploy-Job: laeuft auf ubuntu-latest-Runner, kopiert Deploy-Dateien
  per SSH auf den NAS-Host und triggert truenas-deploy.sh (statt runs-on goldeye)
- compose.yaml/.env.example: postgres:18 (Locale-Match zur Quell-DB), Port 8090
- .gitignore: .agents/, tools/rag/, deploy/truenas/.env (Secrets/Scratch)

Aufgelaufene Feature-Arbeit (verified/Freeze, Migrationen, Import-Triage):
- GerbilOverride/VerifiedGerbil-Endpoints + GerbilSnapshotService + Tests
- EF-Migrationen (ShowInChronicle, Stillborn, BirthOrder, ManualFlag, DSGVO)
- Frontend VerifizierteTierePage + verified-API + e2e-Spec
- diverse Import-/Triage-Skripte und -Tests

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

CLAUDE.md

@@ -37,6 +37,20 @@ dotnet run --project GerbilManager.AppHost
 Die DB wird **nicht** direkt von Python beschrieben. Nach jeder Import-Code-Änderung
 neu generieren UND neu einspielen, sonst zeigt die App den alten Stand.
 
+> **Arbeitsweise (verbindlich, Owner-Regel — aktualisiert 2026-07-12):** Für **variable**
+> (von der Züchterin **nicht** angefasste) Import-Tiere gilt weiter: Datenfehler IMMER **im
+> Importierer** beheben (Pipeline-Code + `conflict-decisions.json` / `rpro3-decisions.json`)
+> und **neu importieren** — für diese Tiere **nicht** die Live-DB patchen. Jeder Importer-Fix
+> muss **re-ingest-stabil** sein (data-driven, deterministische GUIDs).
+>
+> **Neu:** Das Ziel ist **nicht** mehr „Importer perfekt, dann einmal final", sondern
+> **Tier für Tier konvergieren**. Die Züchterin **darf** über die UI kuratieren, und das
+> **überlebt den Ingest** (der wischt **nicht** mehr alles): (a) **manuell angelegte Tiere/
+> Würfe/Kontakte** (`IsManual=true`) und (b) **Overrides** (`GerbilOverride`) für als
+> **„vollständig korrekt"** markierte bzw. **von Hand bearbeitete** Tiere. Deren eigene Felder
+> werden nach jedem Ingest **eingefroren** (Freeze). Siehe „Geprüfte Tiere / Freeze" unten.
+> Zusätzlich zu diesen Overrides überleben weiterhin **Tickets/Feedback**.
+
 ```bash
 # 1. Stammbäume + Wurfchronik → animals.json/litters.json (+ Fotos)
 python tools/import/extract.py
@@ -44,16 +58,22 @@ python tools/import/extract.py
 python tools/import/extract_contracts.py
 # 3. Dedup, Eltern-Resolver, Provenance, Vertrags-Anreicherung → resolved_import.json
 python tools/import/merge_and_resolve.py
-# 4. In die laufende DB laden (API muss laufen): WISCHT + lädt neu
+# 4. In die laufende DB laden (API muss laufen): UPSERT + Freeze
 curl -X POST http://localhost:5179/import/ingest-resolved
 ```
 
-- **`IngestResolvedService` wischt** Gerbils/Litters/Contacts/Photos/Health/Weights/
-  **SaleContracts** und lädt aus `resolved_import.json` neu. Importierte SaleContracts
-  sind Teil des Payloads → werden bei jedem Ingest neu erzeugt (idempotent, IDs deterministisch).
-- **Feedback überlebt den Ingest** (wird nicht gewischt) — daher hat `Feedback` nur
-  **lose, nullable Guid-Spalten ohne FK** (GerbilId/LitterId/ContactId). Dieses Muster
-  für alles nutzen, was Re-Ingests überleben soll.
+- **`IngestResolvedService` (seit 2026-07-12: UPSERT statt Total-Wipe).** Importierte Zeilen
+  (Gerbils/Litters/Contacts) werden **per deterministischer Id gematcht und in place
+  aktualisiert**; **stale** importierte Zeilen (nicht mehr im Payload) werden entfernt (dangling
+  Referenzen manueller Zeilen werden vorher genullt + im Rückgabestring gewarnt). **Nie gelöscht/
+  überschrieben:** Zeilen mit `IsManual=true` sowie **user-eingegebene Sub-Records**
+  (Weights/Health) und Fotos manueller Tiere. **SaleContracts** werden weiter aus dem Payload
+  neu erzeugt (manuelle Verträge sind noch **nicht** geschützt — Folgeaufgabe). Am Ende werden
+  alle **`GerbilOverride`** angewandt (**Freeze** der eigenen Felder) und für verifizierte Tiere
+  der Rohimport-Stand vorher als Drift-Snapshot erfasst.
+- **Feedback + GerbilOverride überleben den Ingest** (werden nicht gewischt) — daher haben sie nur
+  **lose, nullable Guid-Spalten ohne FK** (`Feedback`: GerbilId/LitterId/ContactId; `GerbilOverride`:
+  GerbilId). Dieses Muster für alles nutzen, was Re-Ingests überleben soll.
 - `resolved_import.json` ist **gitignored** (Runtime-Output); `review-report.md` ist getrackt.
 - Deterministische GUIDs via `generate_guid("...")` → stabile IDs über Re-Ingests.
 
@@ -108,6 +128,26 @@ python test_extract.py  test_extract_docx.py  test_genotype.py  test_merge_resol
   Indiz). UI: Diagramm führt den Vorfahren-Ast zusammen (Verweis-Knoten); Akte zeigt
   „⚭ Geschwisterverpaarung"-Chip.
 - **Box-Farbe im Stammbaum-xlsx = Geschlecht**: weiß = weiblich, blau = männlich.
+- **Bestandstier (`isResident`) vs. reiner Vorfahre** (Regel der Züchterin, Ticket 09bcac78):
+  Ein Tier ist **ihr Zuchttier** ⇔ es hatte bei ihr Nachzucht mit Herkunft **„von den
+  Kleinen Chaoten"** (nur dann konnten die Jungtiere ihren Zuchtnamen tragen). Trägt die
+  Nachzucht einen **fremden** Herkunftsnamen (z. B. „of Black Forest", „of Topolino"), ist
+  das Tier nur **Vorfahre** (`isResident=false`, keine Würfe/Charakter-Bereich). **Ausnahme:
+  zugekaufte Zuchttiere** (fremder Herkunftsname, aber bei ihr gezüchtet → Nachzucht „von den
+  Kleinen Chaoten") bleiben **Bestandstiere** (z. B. Echo/Elia of Black Forest).
+  **Sweep umgesetzt (2026-06-27, Ticket 381f7e51):** Der Wurfchronik-Import-Default ist
+  **nicht mehr `is_resident=True`**. Neue Regel in `merge_and_resolve.py` (später Sweep
+  nach Eltern-/`addLitters`-Verknüpfung): `isResident=true` **genau dann**, wenn (1) ein
+  expliziter `conflict-decisions.json`-`isResident`-Override greift (gewinnt immer — `true`
+  wie Echo/Elia, `false` wie Akane/Naémi/Bentley), **oder** (2) das Tier **Elternteil eines
+  eigenen Wurfs** ist (nicht-virtuell ODER aus Wurfchronik ODER Clan-Nachzucht ODER mit
+  residentem Elternteil ODER `addLitter` mit `ShowInChronicle`). Reine virtuelle
+  Ahnen-Verpaarungen machen **nicht** resident (z. B. Antares bleibt `false`). Sonst
+  `false`. `ShowInChronicle` wird **nach** dem Sweep berechnet (nutzt die finale Residenz).
+  Effekt: resident **1711 → 442**. UI-Label (`de.ts` `isResidentLabel`) = **„Zuchtanwärter/
+  innen"** — die Züchterin markiert künftige Zuchttiere selbst. **Offene Folgeaufgabe:**
+  manuelle UI-Residenz-Markierungen überleben den Re-Ingest noch **nicht** (bräuchten eine
+  ingest-stabile, FK-freie Override-Ablage analog `Feedback`).
 - **Genotyp/Farbschlag**: 8-Locus-Notation (siehe `tools/import/genotype.py`,
   `gerbil-manager-web/src/genetics`). Unbekanntes Allel = `-` (nicht `?`).
   E-Locus: `ee`=Fuchs, `eef`=Fuchsschimmel, `efef`=Schimmel. Rezessiver Fuchs ist
@@ -149,11 +189,51 @@ python test_extract.py  test_extract_docx.py  test_genotype.py  test_merge_resol
   attribuierte `history[]`, inkl. „⚠ … verworfen — Grund; … verwendet").
 - **Fehler melden (Feedback)**: `src/components/ReportErrorDialog.tsx`,
   `src/api/feedback.ts`, Backend `Endpoints/FeedbackEndpoints.cs` + `Models/Feedback.cs`.
+- **Geprüfte Tiere / „vollständig korrekt"-Freeze**: Backend `Models/GerbilOverride.cs` (FK-frei,
+  ingest-überlebend), `Import/GerbilSnapshotService.cs` (Akten-Snapshot + Freeze-Map + Diff, von App
+  **und** Test geteilt), `Endpoints/VerifiedGerbilEndpoints.cs` (`/verified-gerbils`: POST markieren,
+  DELETE entfernen/Toggle, GET Liste+Drift, GET `/export` = Golden-Fixture). Freeze wird in
+  `IngestResolvedService` angewandt; `GerbilEndpoints` setzt `IsManual=true` bei POST und legt bei
+  Edit eines importierten Tiers einen per-field-Override an (verifiziert → Golden auto-aktualisiert).
+  Frontend: `src/api/verified.ts`, Badge/Toggle/Drift-Karte in `pages/GerbilDetailPage.tsx`,
+  Übersicht `pages/VerifizierteTierePage.tsx` (`/hilfe/verifizierte-tiere`); Texte in `strings/de.ts`
+  (`verified`-Block). **Modell:** `OverrideJson` = Feld→Wert-Map; `IsVerified=true` = zertifiziert +
+  voller Freeze + Regression/Export, `false` = „geschützt" (nur geänderte Felder). Status/Gehege und
+  Abstammung/Nachzucht werden **nicht** eingefroren (nur erkannt/gemeldet). Regressionstest:
+  `GerbilManager.Tests/VerifiedGoldenTests.cs` gegen `tools/import/verified-golden.json` (via
+  `GET /verified-gerbils/export` erzeugen + committen; skippt, wenn Fixture/`resolved_import.json` fehlt).
+  **Scope-Grenze:** Freeze/Override gelten für **Gerbils**; Edits an importierten Würfen/Kontakten und
+  manuelle SaleContracts sind noch **nicht** geschützt (Folgeaufgaben).
 - **Verträge**: `Models/SaleContract.cs`, `Endpoints/ContractEndpoints.cs`,
   `ContractGenerator.cs`, Frontend `src/pages/Vertraege*`; Import: `extract_contracts.py`
   + `enrich_from_contracts` in `merge_and_resolve.py`.
 - **Import-Kernlogik**: `tools/import/merge_and_resolve.py` (Dedup, Eltern-Resolver mit
   Gender-/Alters-Plausibilität, Litter-/Sibling-Dedup, Provenance, Vertrags-Anreicherung).
+- **RennmausPro-III-Import (rpro3)**: Backend-Importer `GerbilManagerWebAPI/Import/Rpro3/*`
+  (`Rpro3ImportService` Analyze/Execute, `Rpro3Dedup` = automatischer Dubletten-Merge, Port von
+  `tools/import/compare_rpro3.py`). **Manuelle Dubletten-Entscheidungen der Züchterin** (aus den
+  „rpro3-import"-Tickets) liegen in `GerbilManagerWebAPI/Import/Rpro3/rpro3-decisions.json` und
+  werden von `Rpro3Dedup.Run(animals, decisions)` honoriert: `same` = Force-Merge (eine rid zieht
+  den Auto-Cluster mit), `different` = Force-Split, `fields` = Feld-Overrides (Farbe/DOB/Herkunft/
+  `genotype` (roher Fcode)/`resident`/Notiz) am Cluster. Der `genotype`-Override ist nötig, wenn
+  Varianten sich im Gencode unterscheiden (z. B. C-Locus c[h] vs. c[chm]) und der Auto-Merge sonst
+  den falschen Gencode (erstes Cluster-Mitglied) zöge — die Züchterin gibt den korrekten vor
+  (z. B. MilkyWay → `aa Cc[h] DD ee Gg P- spsp`). **Schlüssel ist die RPRO3-Nummer (rid), NIE der Variantenbuchstabe**
+  (Buchstaben verschieben sich bei geänderter Clusterbildung) — rids aus dem Ticket-`agentContext`.
+  Triage-Helfer `tools/import/rpro3_lookup.py` (Name- oder `--rids`-Modus) zieht Farbe/Gencode/
+  Eltern/Nachzucht+Partner aus `_rpro3.db` für die Rückfragen an die Züchterin.
+- **Manuell ergänzte Würfe / versteckte Würfe**: `conflict-decisions.json` kennt neben
+  `resolutions`/`addAnimals` auch **`addLitters`** [{name, mother(+motherDob), father, children[],
+  showInChronicle, totalBorn, date, notes}] — materialisiert in `merge_and_resolve.py` als
+  **späten** Schritt (nach Dedup/Parent-Roles, vor json.dump): Wurf mit deterministischer
+  `generate_guid("decision-litter-<slug>")`, verknüpft Mutter/Vater/Kinder per Name(+dob),
+  setzt Kinder-`LitterId`. Die name+dob-Resolutions können zusätzlich `isResident`, `notes`,
+  `receiver` (Kontaktname→ReceiverContactId) auf bestehende Tiere setzen (läuft NACH der
+  Residenz-Propagation). `Litter.ShowInChronicle` (bool, Default true; Migration
+  `AddLitterShowInChronicle`): `false` blendet den Wurf aus der Wurfchronik
+  (`WuerfeListPage`, Filter `showInChronicle==true`) aus, zeigt ihn aber weiter auf der
+  Tier-Akte (parentLitters-Query, ungefiltert). Use-Case: extern entstandener Wurf eines
+  nicht-residenten Tieres (z. B. Akane × Bonaparte).
 
 ## Verifikations-Checkliste vor „fertig"