M3 Mandant-Einstellungen und Rollencheck ergänzen

- zentrale Owner/Admin-Rollenpruefung in SaaS-Auth ergaenzen
- Mandant-Einstellungen fuer Preise, PayPal und Basisdaten bauen
- Settings-Flow-Test, Navigation und M3-Dokumentation aktualisieren

docs/m2-technical-foundation.md

@@ -140,8 +140,8 @@ Die Skripte erwarten die bekannten Dev-Umgebungsvariablen `DB_HOST`, `DB_NAME`,
   eine PayPal-Alias-Dublette und hinterlaesst keine Datei in `var/uploads`.
 - CSV-Upload negative Tests: Nicht-CSV-Dateien werden abgewiesen.
 - Golden Master weiterhin gruen mit 104 Assertions.
-- HTTP-Smoke weiterhin gruen mit 16 sicheren Seiten inklusive Login und
-  Registrierung.
+- HTTP-Smoke weiterhin gruen mit 17 sicheren Seiten inklusive Login,
+  Registrierung und geschuetzter Mandant-Einstellungen.
 
 ## Bewusste Grenzen
 

docs/m3-saas-basis-vorbereitung.md

@@ -47,6 +47,7 @@ Ergaenzende Skripte:
 scripts/backfill-default-tenant.php
 scripts/check-m3-saas-basis.php
 scripts/check-m3-auth-flow.php
+scripts/check-m3-settings-flow.php
 ```
 
 Wichtige Regeln:
@@ -136,8 +137,27 @@ Noch offen im M3-Auth-Scope:
 - Passwort-Reset.
 - E-Mail-Verifikation.
 - Tenant-Aufloesung ueber Subdomain oder Custom Domain.
-- Zentrale Rollenpruefung fuer neue SaaS-Seiten.
-- Owner-/Admin-Seite fuer Tenant-Grundeinstellungen.
+- Weitergehende Rollenmatrix fuer spaetere SaaS-Seiten.
+
+## Rollen und Grundeinstellungen
+
+Umgesetzte Dateien:
+
+```text
+mandant-einstellungen.php
+```
+
+Umgesetzter Umfang:
+
+- `saas_user_has_role()`, `saas_require_role()` und
+  `saas_can_manage_tenant_settings()` zentralisieren die erste Rollenpruefung.
+- Owner und Admin duerfen Tenant-Grundeinstellungen bearbeiten.
+- Die Seite bearbeitet Kundenname, Zeitzone, Locale, Waehrung, Preis pro
+  Strich, Web-Striche, PayPal-Link, Listenfenster und Schulden-Warnschwelle.
+- Geldwerte werden in der UI als Euro-Werte erfasst und weiterhin als Cent-
+  Integer gespeichert.
+- `konto.php` und die Sidebar verlinken die Einstellungen nur fuer passende
+  Rollen.
 
 ## Erste Akzeptanzkriterien
 
@@ -150,6 +170,7 @@ Noch offen im M3-Auth-Scope:
 - Admins werden als tenant-scoped Rolle abgebildet: erfuellt.
 - Registrierung und Login funktionieren fuer einen neuen Test-Tenant:
   erfuellt.
+- Owner-/Admin-Grundeinstellungen koennen aktualisiert werden: erfuellt.
 - Golden-Master und HTTP-Smoke bleiben gruen: erfuellt.
 
 ## Risiken
@@ -171,6 +192,8 @@ Noch offen im M3-Auth-Scope:
 5. Kontrollskript fuer Tenant/Participant/Role-Counts schreiben: erledigt.
 6. Login-/Registrierungsrouten bauen: erledigt.
 7. Auth-Flow-Kontrollskript schreiben: erledigt.
-8. Golden-Master und HTTP-Smoke ausfuehren: erledigt.
-9. Passwort-Reset, E-Mail-Verifikation und zentrale Rollenpruefung planen:
+8. Zentrale Rollenpruefung und Mandant-Einstellungen bauen: erledigt.
+9. Settings-Flow-Kontrollskript schreiben: erledigt.
+10. Golden-Master und HTTP-Smoke ausfuehren: erledigt.
+11. Passwort-Reset, E-Mail-Verifikation und Tenant-Aufloesung planen:
    naechster Schritt.

docs/saas-umstrukturierungsplan.md

@@ -422,8 +422,8 @@ Schritte:
 - Login und Logout bauen: erster Flow erledigt.
 - Passwort-Reset und E-Mail-Verifikation bauen.
 - Tenant-Aufloesung definieren.
-- Rollenpruefung zentralisieren.
-- Erste Admin-/Owner-Seite fuer Grundeinstellungen.
+- Rollenpruefung zentralisieren: erster Owner/Admin-Check erledigt.
+- Erste Admin-/Owner-Seite fuer Grundeinstellungen: erledigt.
 
 Ergebnis: